บริษัทรักษาความปลอดภัย Wiz Research เปิดเผยชุดของช่องโหว่ที่สำคัญในกลไก PHP หลักเมื่อวันที่ 21 ตุลาคม 2569 โดยเตือนว่าข้อบกพร่องดังกล่าว ซึ่งเรียกรวมกันว่า PHP2Shell ช่วยให้สามารถเรียกใช้โค้ดจากระยะไกลโดยไม่ได้รับอนุญาต และการเปิดเผยหน่วยความจำแบบ Heartbleed บนซอฟต์แวร์ที่ขับเคลื่อนประมาณ 70 เปอร์เซ็นต์ของเว็บไซต์ทั้งหมด โปรเจ็กต์ PHP เปิดตัวแพตช์ในวันเดียวกัน และ Wiz กำลังกระตุ้นให้มีการอัปเดตทันทีทั่วทั้งฐานที่ติดตั้งจำนวนมหาศาลของเว็บ

PHP เป็นแกนหลักของอินเทอร์เน็ตส่วนใหญ่ โดยขับเคลื่อน WordPress, Joomla, Drupal และ MediaWiki ซึ่งเป็นซอฟต์แวร์ที่รัน Wikipedia ข้อบกพร่องที่เพิ่งเปิดเผยล่าสุดนั้นอยู่ในกลไกหลักของ PHP ไม่ใช่ในแอปพลิเคชันใดๆ ที่สร้างขึ้นนอกเหนือจากนั้น ซึ่งหมายความว่าไซต์ต่างๆ อาจถูกเปิดเผยได้แม้ว่ารหัสแอปพลิเคชันของตนเองจะปลอดภัยก็ตาม For more context on this story, see our ongoing latest AI developments.

ช่องโหว่คืออะไร

จากบทความทางเทคนิคของ Wiz โดยนักวิจัย Sagi Tzadik, Shir Tamari, Nir Ohfeld และ Tomer Schwartz ข้อบกพร่องที่เปิดเผยทั้งหมดเป็นปัญหาด้านความปลอดภัยของหน่วยความจำที่มีรากฐานมาจากวิธีที่ PHP จัดการกับข้อผิดพลาดร้ายแรงในระหว่างการประมวลผลคำขอ โดยเฉพาะอย่างยิ่งข้อผิดพลาดหน่วยความจำไม่เพียงพอ คำขอที่เสียหายอาจทิ้งสถานะ PHP ภายในที่เสียหายไว้ข้างหลัง และคำขอหรือผู้ปฏิบัติงานในภายหลังที่นำสถานะเก่านั้นกลับมาใช้ใหม่อาจทำให้เกิดการเปิดเผยหน่วยความจำหรือหน่วยความจำเสียหายได้

การค้นพบนี้จัดกลุ่มภายใต้ CVE สองรายการที่มีความรุนแรงสูงสุดของ CVSS 9.2:

  • CVE-2026-109618 — โปรแกรม unserializer ที่มีความคืบหน้าในการอัพโหลดแบบใช้งานฟรี ซึ่งผู้โจมตีสามารถใช้ประโยชน์จากการเปิดเผยหน่วยความจำกระบวนการระยะไกล และในห่วงโซ่ที่สาธิตแล้ว การเรียกใช้โค้ดจากระยะไกลเต็มรูปแบบ Wiz สาธิตการเปิดเผยหน่วยความจำของผู้ปฏิบัติงาน PHP และ RCE การตรวจสอบสิทธิ์ล่วงหน้าบน WordPress, Drupal และ Joomla โดยไม่ได้รับอนุญาต
CVE-2026-109619 — backtrace ที่มีข้อผิดพลาดร้ายแรงโดยไม่ใช้แล้วรวมกับความสับสนประเภท OPcache ยังแสดงให้เห็นว่ามีการเรียกใช้โค้ดระยะไกลที่มีการตรวจสอบสิทธิ์ล่วงหน้าล่วงหน้าบน Drupal และ WordPress

หน่วยความจำที่ผู้โจมตีสามารถอ่านได้อาจมีรหัสผ่าน โทเค็นการตรวจสอบสิทธิ์ คีย์ API และใบรับรองที่เป็นของคำขออื่นหรือของเซิร์ฟเวอร์เอง Wiz กล่าว PHP ทุกเวอร์ชันที่เปิดตัวในทศวรรษที่ผ่านมา ย้อนกลับไปเป็น PHP 5.4 ได้รับผลกระทบจากช่องโหว่อย่างน้อยหนึ่งรายการ และบริษัทกล่าวว่าสิ่งเหล่านี้เป็นหนึ่งในข้อบกพร่องที่รุนแรงที่สุดเท่าที่เคยพบใน PHP

จุดที่ AI เข้ามา

การอ้างสิทธิ์ที่เป็นผลสืบเนื่องมากที่สุดในรายงานของ Wiz ไม่ได้เกี่ยวกับ PHP เลย แต่เป็นเรื่องเกี่ยวกับสิ่งที่โมเดล AI ระดับแนวหน้าได้ทำเพื่อใช้ประโยชน์จากการพัฒนา

Wiz เขียนว่าข้อบกพร่องที่ซ่อนอยู่นั้นมีมานานหลายทศวรรษแล้ว แต่การพิสูจน์ว่าความสามารถในการเอารัดเอาเปรียบนั้นจำเป็นต้องมี "ขั้นตอนที่ซับซ้อนเป็นพิเศษ ตรงขอบของสิ่งที่นักวิจัยมนุษย์สามารถทำได้จริง" การใช้ประโยชน์ต้องเชื่อมโยงข้อบกพร่องหลายรายการและปรับให้เข้ากับรูปแบบหน่วยความจำของแต่ละเป้าหมายผ่านการทดสอบและแก้ไขข้อบกพร่องซ้ำแล้วซ้ำอีก

บริษัทกล่าวว่าโมเดล Frontier AI ได้ลดอุปสรรคดังกล่าวลงอย่างมาก “เปลี่ยนข้อบกพร่องที่มีมายาวนานให้กลายเป็นช่องโหว่” และทำให้ทีมของ Wiz สามารถพัฒนาและปรับใช้ช่องโหว่ในการทำงานกับแอปพลิเคชันต่างๆ ได้ภายในเวลาไม่กี่ชั่วโมงแทนที่จะเป็นสัปดาห์

“เมื่อเวลาและความเชี่ยวชาญที่จำเป็นสำหรับงานนี้ลดลง ความซับซ้อนอาจไม่เป็นอุปสรรคที่มีความหมายอีกต่อไป และเปลี่ยนวิธีที่เรากำหนดสิ่งที่เปราะบางในทางปฏิบัติ” นักวิจัยเขียน

จุดเปลี่ยนในยุค AI?

Wiz วางเฟรม PHP2Shell อย่างชัดเจนควบคู่ไปกับช่วงเวลาสำคัญสองช่วงก่อนหน้านี้ในการรักษาความปลอดภัยบนเว็บ: Heartbleed ในปี 2014 ซึ่งเผยให้เห็นความเปราะบางของโครงสร้างพื้นฐานที่ใช้ร่วมกันในการรักษาความปลอดภัยอินเทอร์เน็ต และ Log4Shell ในปี 2021 ซึ่งเผยให้เห็นว่าการพึ่งพาซอฟต์แวร์ที่ฝังลึกทำให้เกิดการเข้าถึงในวงกว้างได้อย่างไร บริษัทโต้แย้งว่า PHP2Shell สามารถเป็นจุดเปลี่ยนที่คล้ายกันได้ ซึ่งคราวนี้แสดงให้เห็นว่า AI เปลี่ยนแปลงความสามารถในการใช้ประโยชน์ในทางปฏิบัติของจุดอ่อนที่รู้จักกันมานานได้อย่างไร

การวางเฟรมนั้นมีความสำคัญมากกว่า PHP ช่องโหว่ทางทฤษฎีที่อยู่ไม่ไกลเกินเอื้อมอย่างปลอดภัยเนื่องจากการหาประโยชน์นั้นยากเกินไป ช้าเกินไป หรือเชี่ยวชาญเกินไป ขณะนี้อาจเข้าถึงได้สำหรับผู้โจมตีที่มีทรัพยากรเพียงพอซึ่งติดอาวุธด้วยเครื่องมือ AI ซึ่งเป็นการเปลี่ยนแปลงที่มีผลกระทบที่ชัดเจนต่องบประมาณการป้องกัน จังหวะการแก้ไข และลำดับเวลาการเปิดเผยทั่วทั้งอุตสาหกรรมซอฟต์แวร์

การแก้ไขข้ามอุตสาหกรรมที่มีการประสานงาน

มีการประสานงานการเปิดเผยข้อมูล Wiz ขอบคุณทีมงาน PHP และ OpenAI สำหรับงานค้นหา การประสานงาน และการตรวจสอบแพตช์ โดยสังเกตว่าทั้ง OpenAI และ PHP ได้เผยแพร่บทความทางเทคนิคของตนเองเกี่ยวกับประวัติของช่องโหว่และกระบวนการเปิดเผยข้อมูล

กลุ่มข้ามอุตสาหกรรม รวมถึง Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft และ Vercel ได้เตรียมคำแนะนำและการบรรเทาผลกระทบที่พร้อมใช้งานทันทีสำหรับลูกค้าที่ไม่สามารถแพตช์ได้ทันที Cloudflare ประกาศแยกต่างหากเมื่อวันที่ 21 ตุลาคมว่าได้ปรับใช้การป้องกัน WAF เพื่อต่อต้านช่องโหว่ PHP สำหรับลูกค้า

สิ่งที่เจ้าของไซต์ควรทำ

คำแนะนำจาก Wiz นั้นตรงไปตรงมา: ให้แก้ไขทันที โครงการ PHP เปิดตัวการแก้ไขสำหรับช่องโหว่ด้านความปลอดภัยของหน่วยความจำเมื่อวันที่ 21 ตุลาคม 2026 และการใช้งาน PHP ที่รองรับทุกครั้งควรอัปเดตโดยเร็วที่สุด

องค์กรที่ไม่สามารถแพตช์ได้ทันทีควรใช้การบรรเทาที่เผยแพร่โดยผู้ให้บริการ CDN โฮสติ้งหรือ WAF ซึ่งหลายกฎได้จัดส่งกฎที่กำหนดเป้าหมายไปที่กลุ่มช่องโหว่ในวันแรก ผู้ดูแลระบบของฟลีต WordPress, Drupal และ Joomla ควรปฏิบัติต่อสิ่งนี้เป็นรอบแพตช์ที่มีลำดับความสำคัญ: Wiz สาธิตการเรียกใช้โค้ดจากระยะไกลที่มีการตรวจสอบสิทธิ์ล่วงหน้าล่วงหน้ากับทั้งสามแพลตฟอร์ม และเส้นทางโค้ดที่มีช่องโหว่นั้นมีอยู่ ไม่ว่าแอปพลิเคชันด้านบนจะได้รับการดูแลอย่างดีเพียงใด

บทเรียนที่ลึกซึ้งยิ่งขึ้นอาจเป็นบทเรียนที่ Wiz วาดเอง: เมื่อ AI สามารถบีบอัดเวลาหลายเดือนของวิศวกรรมการหาประโยชน์ให้เป็นชั่วโมง คำจำกัดความการทำงานของอุตสาหกรรมที่ว่า "สามารถหาประโยชน์ได้ในทางปฏิบัติ" และด้วยเหตุนี้ ความหมายของไทม์ไลน์การแพตช์อย่างรับผิดชอบ ก็เปลี่ยนไปแล้ว

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →