ด่วน
Security
PHP อัปเดตด่วนยกแผง หลังช่องโหว่รันคำสั่งทางไกลรั่วไหลและมีคนเริ่มเจาะระบบแล้ว
ใครรันเว็บด้วย PHP อยู่ รีบอัปเดตเวอร์ชัน 8.x ด่วนที่สุด เพราะตอนนี้โค้ดโจมตีถูกปล่อยว่อนเน็ตเรียบร้อยแล้วหลังจากข้อมูลหลุดกลางทาง
ทีมข่าว เอไอไทย.com
⏱ อ่าน 3 นาที
ระบบหลังบ้านครึ่งค่อนโลกสั่นสะเทือน เมื่อกระบวนการแจ้งเตือนช่องโหว่แบบรับผิดชอบพังไม่เป็นท่าจนแฮกเกอร์ได้ช่องทางทำกินก่อนเวลาอันควร
อันนี้คือเรื่องใหญ่ระดับคอขาดบาดตายสำหรับคนทำเว็บ ถ้าคุณรันระบบอะไรก็ตามด้วย PHP อยู่ตอนนี้ บอกเลยว่านั่งไม่ติดแน่นอนเพราะทาง PHP เพิ่งปล่อยอัปเดตความปลอดภัยยกแผงให้กับทุกเวอร์ชันในตระกูล 8.x เพื่ออุดช่องโหว่ประเภท remote code execution หรือ RCE สJองจุดที่อันตรายสุดๆ และที่แย่กว่านั้นคือมีคนเอาโค้ดเจาะระบบไปวิ่งเล่นบนโลกออนไลน์ตั้งแต่เมื่อคืนแล้ว งานนี้ไม่ได้เกิดจากฝีมือแฮกเกอร์สายมืดอย่างเดียว แต่ดันมาจากความผิดพลาดในกระบวนการประสานงานแจ้งเตือนช่องโหว่เองด้วย
เรื่องราวทั้งหมดมันเริ่มเดือดขึ้นมาเมื่อวันอังคารที่ 20 ตุลาคมที่ผ่านมา ช่วงบ่ายสามโมงตามเวลา UTC จู่ๆ ก็มีเลข CVE สองตัวหลุดว่อนตามฟอรัมออนไลน์และโซเชียลมีเดีย พร้อมกับข้อมูลที่ปล่อยออกมาแบบมั่วๆ ทั้งเวลาปล่อยตัวแพตช์ที่ผิดแถมยังใส่คะแนนความรุนแรง CVSS มาที่ 10.0 เต็มพิกัด (ความจริงคือ 9.2) ดีที่ว่าตอนนั้นยังไม่มีรายละเอียดเชิงเทคนิคหลุดออกมา ทางโปรเจกต์ PHP เลยต้องรีบแก้เกมด้วยการขยับเวลาประกาศล่วงหน้าให้เร็วกว่ากำหนดเดิม และจำใจต้องปล่อยตัวอัปเดตออกมาเร็วขึ้นกว่าเดิมเป็นวันที่ 21 ตุลาคมแทน
แต่ความซวยยังไม่จบแค่นั้น พอมีข่าวหลุดออกไปปุ๊บ ทาง Calif ซึ่งเป็นหนึ่งในบริษัทด้านความปลอดภัยที่ค้นพบช่องโหว่นี้ดันพลาดท่าปล่อยวิดีโอออกมาโดยไม่ตั้งใจ ในวิดีโอนั้นโชว์หลักการทำงานของ proof of concept ที่วิ่งไปเจาะเป้าหมายจริงๆ แถมยังแอบเปิดเผยรายละเอียดเชิงลึกของช่องโหว่ออกมาอีกนิดหน่อย แม้ว่าทางบริษัทจะรีบลบวิดีโอทิ้งอย่างไว แต่ก็ไม่ทันการณ์เพราะมีคนอقกาศก๊อปปี้เก็บไว้แล้วเอาไปแชร์ต่อบนโซเชียลมีเดียเรียบร้อย
วิดีโอนั้นกลายเป็นตัวเร่งปฏิกิริยาชั้นดีที่ทำให้คนอื่นเอาไปต่อยอดทำโค้ดสำหรับเจาะระบบกันออกมาตรึม จนทำให้สถานการณ์ในวันที่ 21 ตุลาคมมันเละเทะและมีความเสี่ยงสูงขึ้นแบบก้าวกระโดด เพราะทุกคนต่างพากันแห่แชร์โค้ดทดลองเจาะระบบกันให้วุ่น
ถ้าเราลองย้อนดูไทม์ไลน์จากทีม Wiz Research ที่เป็นคนค้นพบช่องโหว่นี้ตั้งแต่แรก จะเห็นว่าพวกเขาทำงานกันมาตั้งแต่ช่วงปลายเดือนสิงหาคม โดยใช้เครื่องมือช่วยสแกนระบบจนเจอจุดอ่อน และพอยืนยันได้ว่ามันสามารถทำ unauthenticated RCE เจาะเข้าไปในระบบใหญ่ๆ อย่าง Drupal และ WordPress ได้แบบไม่ต้องล็อกอิน พวกเขาก็รีบแจ้งเรื่องให้กับทีมความปลอดภัยของ PHP ทันทีในวันที่ 24 สิงหาคม
19 สิงหาคม 2026
Wiz Research ค้นพบช่องโหว่แรกใน PHP โดยใช้เครื่องมือ Wiz Atlas, Gemini 4 Argon และ GPT-5.6 Sol
20-21 สิงหาคม 2026
ยืนยันผลการทดสอบการรันคำสั่งทางไกลได้สำเร็จทั้งบนระบบของ Drupal และ WordPress
24 สิงหาคม 2026
Wiz Research ส่งรายงานช่องโหว่ทั้งหมดให้กับทีมความปลอดภัยของ PHP เพื่อดำเนินการแก้ไข
21 ตุลาคม 2026
ทาง PHP ออกมาตรการแพตช์ด่วนพร้อมเปิดเผยข้อมูลสู่สาธารณะ หลังเกิดเหตุข้อมูลรั่วไหลนอกรอบ
ทาง PHP ใช้เวลาเกือบเดือนเต็มในการรับเรื่องและเริ่มพัฒนาวิธีแก้ปัญหาร่วมกัน จนกระทั่งมาหลุดวงโคจรในนาทีสุดท้ายก่อนจะถึงกำหนดการเปิดเผยข้อมูลตามแผนเดิมที่วางไว้ กลายเป็นบทเรียนราคาแพงว่าต่อให้ทีมงานต้นทางจะตั้งใจทำตามขั้นตอนที่ถูกต้องแค่ไหน แต่ถ้ามีตัวแปรอื่นหลุดรั่วออกมาก่อนเวลา ระบบความปลอดภัยที่เตรียมไว้ก็พังทลายลงได้ในพริบตาเดียว
เลิกสนใจเรื่องดราม่าข้อมูลรั่วแล้วไปกดอัปเดตเซิร์ฟเวอร์ PHP ของคุณซะ เพราะตอนนี้โค้ดเจาะระบบมันวิ่งว่อนอยู่ข้างนอกแล้ว ช้าไปก้าวเดียวอาจโดนแฮกเกอร์ยึดเว็บแบบไม่รู้ตัว
ที่มา: Simon Willison's Weblog — อ่านต้นฉบับ
ความคิดเห็น 1
กำลังโหลดความคิดเห็น...