PHP ปล่อยแพตช์วิกฤตสามทุ่มคืนนี้: เซิร์ฟเวอร์ของคุณพร้อมหรือยัง?

โดย Nokka (นก-กา) | นักเขียนอิสระสาย AI และระบบเปิด | ตรวจสอบข้อมูล ณ 21 ต.ค. 2026 เวลา 08:20 น.

บทความนี้เขียนโดย AI (deepseek-v4.1-flash · ผู้ให้บริการโมเดล: ollama-cloud) ผ่าน Hermes Agent ภายใต้การควบคุมและตรวจสอบคุณภาพโดยมนุษย์ - Nokka (นก-กา)

อีกไม่ถึงสิบสามชั่วโมง

คืนนี้เวลา 21:00 ตามเวลาไทย ทีมความปลอดภัยของ PHP จะปล่อยแพตช์แก้ช่องโหว่สองรายการที่ให้คะแนนความร้ายแรงตาม CVSS v4.0 ไว้ที่ 9.2 ทั้งคู่ [1]

ทั้งสองรายการถูกจัดว่าเป็นช่องโหว่ระดับวิกฤต และมีแนวโน้มสูงว่าจะเป็นการรันโค้ดจากระยะไกล หรือ RCE โดยถ้อยเรื่อง RCE มาจากข้อมูลที่หลุดและจาก CERT-EU ไม่ใช่ถ้อยของทีม PHP เอง [2] [3]

ถ้าคุณดูแลเว็บที่รัน PHP ไม่ว่าจะเป็น WordPress, WooCommerce, Laravel หรือระบบที่เขียนเอง ปกติคุณมีเวลาศึกษาก่อนติดตั้ง

แต่ครั้งนี้ไม่มี เพราะรายละเอียดของช่องโหว่หลุดออกมาก่อนกำหนด [6]

PHP ประกาศอะไรไว้บ้าง

ประกาศบน php.net ลงวันที่ 20 ตุลาคม ระบุสั้น ๆ ว่าแพตช์มีกำหนดปล่อยวันพุธที่ 21 ตุลาคม 2026 เวลา 14:00 UTC ซึ่งตรงกับสามทุ่มของไทย [1]

ข้อความที่ควรจับตาคือประโยคที่ว่า ทีมความปลอดภัยขอสงวนสิทธิ์ปล่อยแพตช์ก่อนกำหนด หากรายละเอียดของช่องโหว่กลายเป็นที่เปิดเผย หรือพบหลักฐานว่ามีการโจมตีจริงในวงกว้าง [1]

แปลว่ากำหนดสามทุ่มไม่ใช่สัญญา มันคือเวลาที่เร็วที่สุดที่เขาจะรอได้

และประกาศเดียวกันยังบอกด้วยว่า รายละเอียด เวอร์ชันที่กระทบ และเวอร์ชันที่แก้แล้ว จะเปิดเผยพร้อมกับวันที่ปล่อยแพตช์ [1]

นั่นคือเหตุผลที่ตอนนี้ยังไม่มีใครรู้อย่างเป็นทางการว่าเวอร์ชันไหนโดนบ้าง

ข้อมูลที่หลุดออกมา และใครยืนยันแล้ว

watchTowr บริษัทด้านความปลอดภัยในสิงคโปร์ โพสต์บน X เมื่อวันที่ 20 ตุลาคมว่า ข้อมูลช่องโหว่ zero-day แบบถูกปิดผนึกไว้หลุดออกมา และยืนยันได้ว่าเป็นของจริง [6]

ซีอีโอของบริษัทบอกกับ BleepingComputer ว่าเคยมีกำหนดเปิดเผยตรงกับวันพฤหัสบดีเวลาสิบเอ็ดโมงเช้าตามเวลาตะวันออก และบริษัทเชื่อว่าตนพิสูจน์ช่องโหว่ตัวแรกได้แล้ว แต่ยังไม่เปิดรายละเอียดจนกว่าแพตช์จะออก [2]

CERT-EU ออกคำแนะนำฉบับ 2026-018 เมื่อวันที่ 21 ตุลาคม โดยระบุรหัสช่องโหว่สองตัวคือ CVE-2026-109618 และ CVE-2026-109619 พร้อมคำแนะนำที่ผมคิดว่าหนักที่สุดในเอกสารทั้งหมด [3]

ถ้าติดตั้งแพตช์ทันทีไม่ได้ ให้พิจารณาตัดแอปที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายสาธารณะจนกว่าจะแก้ได้ [3]

Sansec ระบุว่าเครื่องมือโจมตีชื่อ PHP2Shell หลุดออกมาพร้อมประกาศ และป้ายบนเครื่องมืออ้างว่าใช้ได้กับ PHP ทุกเวอร์ชันตั้งแต่ 5.4.0 ขึ้นมา พร้อมคาดการณ์ว่าจะมีการโจมตีเป็นวงกว้างภายในสิบห้านาทีหลังแพตช์ออก [4]

ตัวเลขที่ขัดกัน และสิ่งที่ผมตรวจไม่พบ

ตรงนี้คือจุดที่ผมอยากให้ระวังที่สุด เพราะตัวเลขที่แชร์กันในโซเชียลไม่ตรงกับประกาศทางการ

ประกาศทางการบอก 9.2 แต่ watchTowr บอกผู้สื่อข่าวว่า ทั้งสองตัวเป็น 10.0 [1] [2]

ผมไม่ทราบว่าบริษัทใช้ CVSS เวอร์ชันใดและประเมินในบริบทแบบไหน จึงไม่ด่วนสรุปว่าตัวเลขขัดกันหรือไม่ แต่ข้อที่ตรวจได้ชัดคือ ถ้าคุณเห็นภาพที่เขียนว่า 10.0 ให้รู้ว่ามันไม่ใช่เลขจากประกาศของ PHP

อีกจุดที่คลาดเคลื่อนคือเวลา มีโพสต์บน Hacker News ที่ระบุว่ากำหนดเปิดเผยเป็นวันที่ 22 ตุลาคม เวลา 18:00 ตามเวลายุโรปกลาง [5] และเจ้าของโพสต์เองก็ยอมรับว่าไม่มีหลักฐานใดนอกจากคำบอกเล่า [5]

ประกาศทางการบอก 21 ตุลาคม 14:00 UTC ซึ่งตรงกับ 16:00 ตามเวลายุโรปกลางของวันที่ 21 ไม่ใช่วันที่ 22 [1]

เช้าวันที่ 21 ตุลาคม ผมค้นรหัสทั้งสองตัวในฐานข้อมูล NVD ของรัฐบาลสหรัฐ และไม่พบข้อมูลเลยทั้งคู่ [7]

นั่นหมายความว่าตอนนี้ยังไม่มีคำอธิบายทางการของช่องโหว่จากฐานข้อมูลสาธารณะ และรหัสที่แชร์กันมาจึงยังตรวจสอบย้อนกลับไม่ได้

มีรายละเอียดเล็ก ๆ ที่ผมคิดว่าน่าสนใจ คือโพสต์ของ watchTowr เองพิมพ์รหัสผิดเป็น CVE-2926 แทนที่จะเป็น CVE-2026 [6]

แม้แต่คนที่ยืนยันช่องโหว่ก็ยังพิมพ์รหัสพลาด จึงไม่ควรคัดลอกรหัสจากโพสต์หรือภาพในโซเชียลไปใส่ในระบบติดตามของคุณ

ใครโดนบ้าง

CERT-EU เขียนว่า ช่องโหว่นี้อาจกระทบ PHP ทุกเวอร์ชันตั้งแต่ 5 ขึ้นมา [3]

Sansec เขียนตรงกับข้อมูลบนเครื่องมือโจมตีว่า กระทบเว็บเซิร์ฟเวอร์ที่รัน PHP 5.4 หรือใหม่กว่า ซึ่งรวมถึงร้านค้าที่ใช้ Magento, Shopware และ WooCommerce [4]

แต่มีอีกตัวเลขที่สำคัญกว่านั้น คือ php.net ระบุว่า PHP ที่ยังได้รับการสนับสนุนอย่างเป็นทางการตอนนี้มีแค่ 8.2, 8.3, 8.4 และ 8.5 [8]

รุ่น 8.2 จะหมดช่วงสนับสนุนด้านความปลอดภัยในวันที่ 31 ธันวาคม 2026 นี้ [8]

แปลว่าถ้าเซิร์ฟเวอร์ของคุณยังอยู่บน 8.1 หรือเก่ากว่า คุณจะไม่มีแพตช์ทางการให้ติดตั้ง และเหลือสองทางคือขอให้ผู้ให้บริการ backport แพตช์ให้ หรือย้ายขึ้นเวอร์ชันที่ยังได้การสนับสนุน [4]

สิ่งที่ควรทำก่อนสามทุ่มคืนนี้

ข้อ 1 เช็กเวอร์ชัน PHP ของทุกเว็บที่ดูแล

เริ่มจากคำสั่งง่าย ๆ บนเซิร์ฟเวอร์

php -v
php -i | grep "Loaded Configuration"

ถ้าใช้ PHP-FPM ให้ตรวจผ่านหน้าเว็บที่รัน PHP จริงด้วย เพราะค่าใน command line อาจไม่ใช่ค่าเดียวกับที่ผู้ใช้เว็บเจอ

ข้อ 2 ถามผู้ให้บริการโฮสติ้งวันนี้ ไม่ใช่พรุ่งนี้

ถ้าคุณไม่ได้ดูแลเซิร์ฟเวอร์เอง ให้ส่งข้อความไปถามตรง ๆ ว่ามีแผนติดตั้งแพตช์ PHP ภายในคืนนี้หรือไม่ และจะแจ้งผลให้คุณทราบเมื่อไหร่

Sansec แนะนำให้ทำแบบนี้เพราะแพตช์ตัวนี้ต้องแก้ที่ระดับโครงสร้างพื้นฐาน แก้ในโค้ดเว็บไม่ได้ [4]

ผมคิดว่านี่คือจุดที่ธุรกิจไทยจำนวนมากจะพลาด เพราะเว็บร้านค้าจำนวนมากฝากไว้กับผู้ให้บริการ และเจ้าของร้านมักไม่รู้ว่าเซิร์ฟเวอร์ของตัวเองรัน PHP เวอร์ชันไหน

สมมติว่ามีเว็บร้านค้าที่ใช้ WooCommerce และอยู่บนโฮสติ้งที่ล็อก PHP ไว้ที่ 8.1 มาแต่ปีก่อน เจ้าของร้านจะไม่ได้รับแพตช์ใด ๆ จากช่องทางปกติ และอาจไม่รู้ตัวจนกว่าจะมีคนแจ้ง

กรณีแบบนี้คือสิ่งที่ผมอยากให้ทุกคนลองถามตัวเองก่อนเที่ยงคืนนี้ ว่าเว็บของฉันอยู่ในสถานะเดียวกับตัวอย่างนี้หรือเปล่า

ข้อ 3 วางแผนรับมือกรณีที่แพตช์ยังไม่มา

CERT-EU แนะนำให้พิจารณาตัดแอปที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายสาธารณะชั่วคราว [3]

แนวทางนี้ไม่เหมาะกับทุกธุรกิจ เพราะแปลว่าเว็บจะเข้าไม่ได้ แต่ถ้าคุณมีระบบหลังบ้านที่สำคัญมากและไม่จำเป็นต้องเปิดให้คนนอกเข้าถึง การปิดชั่วคราวเป็นทางเลือกที่ควรพิจารณา

ผมเขียนตรงนี้ตามที่ CERT-EU แนะนำ ไม่ได้แปลว่าทุกคนควรทำ เพราะผลกระทบทางธุรกิจของแต่ละที่ต่างกันมาก

ข้อ 4 ตระเตรียมวิธี rollback

ก่อนติดตั้งแพตช์คืนนี้ ให้จดเวอร์ชันที่ใช้อยู่และมีแผนถอยกลับไว้ก่อน

ในมุมมองของผม แพตช์ฉุกเฉินที่ออกในเวลากระชั้นมักแลกมากับความเสี่ยงเรื่องความเข้ากันได้กับปลั๊กอินหรือส่วนขยายที่ไม่ได้อัปเดตนาน

มาตรการระดับแอปอาจไม่ช่วยในเคสนี้

Sansec เขียนไว้ตรง ๆ ว่าเท่าที่รู้ตอนนี้ การโจมตีมุ่งไปที่ตัว PHP เอง ก่อนที่โค้ดร้านค้าและระบบป้องกันอย่าง Shield จะได้ทำงาน [4]

ประโยคที่เขาเน้นคือ อย่ารอให้กฎของ Shield มาป้องกันคุณ [4]

ผมอ่านแล้วเข้าใจว่านี่คือคำเตือนที่สำคัญที่สุดสำหรับคนที่ดูแลร้านค้าออนไลน์ เพราะหลายคนคุ้นกับการรอปลั๊กอินความปลอดภัยอัปเดตกฎให้

แต่ครั้งนี้ชั้นที่ต้องแก้คือชั้นที่อยู่ล่างกว่าโค้ดร้านค้าลงไป นั่นคือตัว interpreter เอง [4]

สามทุ่มคืนนี้ต้องดูอะไร

เมื่อถึงเวลา แพตช์จะออกที่หน้าข่าวของ php.net ก่อนเป็นอันดับแรก [1]

สิ่งที่ควรอ่านก่อนติดตั้งมีสามอย่าง คือ รายละเอียดช่องโหว่ เวอร์ชันที่กระทบ และเวอร์ชันที่แก้แล้ว ซึ่งประกาศทางการบอกว่าจะมาในวันเดียวกัน [1]

ถ้าคุณดูแลหลายเว็บ ให้เรียงลำดับจากเว็บที่เปิดสู่อินเทอร์เน็ตและมีข้อมูลลูกค้ามากที่สุดก่อน

และถ้าพบว่ามีการโจมตีเกิดขึ้นจริงก่อนสามทุ่ม ให้เตรียมรับว่ากำหนดการอาจเลื่อนเร็วขึ้น เพราะทีม PHP สงวนสิทธิ์ไว้แล้ว [1]

สิ่งที่ผมตรวจและสิ่งที่ผมยังไม่ได้ตรวจ

ผมเปิดประกาศบน php.net อ่านเต็มฉบับ และตรวจตารางเวอร์ชันที่ยังได้รับการสนับสนุนบนหน้าเวอร์ชันของ php.net ด้วยตัวเอง [1] [8]

ผมเปิดคำแนะนำของ CERT-EU ฉบับเต็ม อ่านข้อความเรื่องการตัดแอปออกจากเครือข่ายจากต้นฉบับโดยตรง ไม่ได้อ้างจากโพสต์ที่แชร์ต่อ [3]

ผมเปิดงานวิจัยของ Sansec อ่านรายละเอียดเรื่องเครื่องมือ PHP2Shell และคำเตือนว่า Shield อาจป้องกันไม่ทันจากต้นฉบับ [4]

ผมเปิดโพสต์ของ watchTowr บน X ผ่าน API และอ่านข้อความจริง รวมถึงเห็นการพิมพ์รหัส CVE ผิดในโพสต์นั้น [6]

ผมค้นรหัสช่องโหว่ทั้งสองตัวใน NVD และไม่พบข้อมูล จึงเขียนตามที่เห็น คือยังไม่มีคำอธิบายทางการ [7]

สิ่งที่ผมยังไม่ได้ตรวจ ผมยังไม่ได้เห็นรายละเอียดทางเทคนิคของช่องโหว่เพราะยังไม่ถูกเปิดเผย และผมไม่ได้ทดสอบเครื่องมือ PHP2Shell ด้วยตัวเอง

ผมจึงไม่ยืนยันว่าช่องโหว่นี้ใช้ได้กับทุกเวอร์ชันจริง เพราะข้อมูลเรื่องเวอร์ชันมาจากป้ายของเครื่องมือโจมตีและจาก CERT-EU ไม่ใช่จากทีม PHP

คำถามที่ผมอยากฝากไว้

ถ้าแพตช์ออกตอนสามทุ่มคืนนี้ คุณรู้แล้วหรือยังว่าใครในทีมเป็นคนติดตั้ง และใครเป็นคนยืนยันว่าติดตั้งสำเร็จ?

ถ้ายังตอบไม่ได้ ตอนนี้ยังมีเวลาเหลือไม่ถึงสิบสามชั่วโมง

แหล่งอ้างอิง

[1] The PHP Development Team, "Upcoming Critical PHP Security Release", php.net News Archive, 20 ต.ค. 2026 (กำหนดปล่อย 21 ต.ค. 2026 เวลา 14:00 UTC · CVSS v4.0 9.2 ทั้งสองรายการ · สงวนสิทธิ์ปล่อยก่อนกำหนด · รายละเอียดและเวอร์ชันจะมาในวันปล่อย). https://www.php.net/archive/2026.php#2026-10-20-1

[2] Lawrence Abrams, "PHP warns admins of two critical flaws, emergency patches coming tomorrow", BleepingComputer, 20 ต.ค. 2026 (คำให้สัมภาษณ์ของ Benjamin Harris ซีอีโอ watchTowr · รหัส CVE-2026-109618 และ CVE-2026-109619 · กระทบ PHP 5, 6, 7, 8 ตามความเห็นของนักวิจัย · กำหนดเดิมวันพฤหัสบดี 11:00 น. เวลาตะวันออก). https://www.bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow/

[3] CERT-EU, "Critical Vulnerabilities in PHP", Security Advisory 2026-018, 21 ต.ค. 2026 v1.0 (CVSS 9.2 = เสี่ยง RCE โดยไม่ต้องยืนยันตัวตน · อาจกระทบ PHP ตั้งแต่ 5 ขึ้นไป · แนะนำให้ติดตั้งทันที หรือตัดแอปที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายจนกว่าแก้ได้). https://cert.europa.eu/publications/security-advisories/2026-018/pdf

[4] Sansec Forensics Team, "Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619", Sansec, 21 ต.ค. 2026 (เครื่องมือ PHP2Shell ที่ป้ายอ้างว่าใช้ได้กับ PHP ตั้งแต่ 5.4.0 · กระทบ Magento, Shopware, WooCommerce · คาดการโจมตีวงกว้างใน 15 นาทีหลังปล่อย · คำเตือนว่าการโจมตีมุ่งที่ตัว PHP ก่อนโค้ดร้านค้าและ Shield · PHP 8.1 หรือเก่าไม่ได้รับแพตช์ทางการ). https://sansec.io/research/php2shell

[5] petecooper, "Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming", Hacker News, 20 ต.ค. 2026 (ระบุกำหนด 22 ต.ค. 2026 เวลา 18:00 CEST และคะแนน 10.0 ซึ่งต่างจากประกาศทางการ). https://news.ycombinator.com/item?id=50167754

[6] watchTowr, โพสต์บน X, 20 ต.ค. 2026 เวลา 18:26 UTC (ยืนยันว่าช่องโหว่ zero-day ที่หลุดออกมาเป็นของจริง · พิมพ์รหัสเป็น CVE-2926-109618/619). https://x.com/watchtowrcyber/status/2112611507749982605

[7] NIST, National Vulnerability Database, ผลค้นหา CVE-2026-109618 และ CVE-2026-109619, สืบค้น 21 ต.ค. 2026 (ไม่พบรายการทั้งสองรหัส). https://services.nvd.nist.gov/rest/json/cves/2.0

[8] The PHP Group, "Supported Versions", php.net, สืบค้น 21 ต.ค. 2026 (8.2 · 8.3 · 8.4 · 8.5 · รุ่น 8.2 หมดช่วงสนับสนุนความปลอดภัย 31 ธ.ค. 2026). https://www.php.net/supported-versions.php