หน้าแรก/บทความ

ช่องโหว่ PHP ร้ายแรง เว็บ WordPress ต้องเช็คเวอร์ชันกับโฮสต์ด่วน

ช่องโหว่ PHP ร้ายแรง สองตัว ถูกปิดด้วย อัปเดตด่วน เมื่อวันที่ 21 ตุลาคม 2026 เวลา 14:00 UTC หรือสามทุ่ม เวลาไทย The PHP Foundation เลื่อนวัน ออกแพตช์ ให้เร็วขึ้น จากเดิม วันที่ 22 ตุลาคม เพราะข้อมูล บางส่วน รั่วออกมา ก่อนกำหนด เรื่องนี้ เกี่ยวกับ ทุกคน ที่มีเว็บไซต์ บนภาษา PHP ซึ่งรวมถึง เว็บ WordPress ของร้านค้า ของช่อง และพอร์ตงาน ของช่างภาพ จำนวนมาก

ช่องโหว่ PHP ร้ายแรง ประกาศอัปเดตจาก The PHP Foundation
ประกาศอัปเดตความปลอดภัยของ PHP วันที่ 21 ตุลาคม 2026 ภาพ: The PHP Foundation

ช่องโหว่ PHP ครั้งนี้ ร้ายแรงแค่ไหน

สองช่องโหว่นี้ มีรหัส CVE-2026-109618 และ CVE-2026-109619 ได้คะแนน ความรุนแรง CVSS 9.2 และทั้งคู่ พาไปสู่ การรันโค้ด จากระยะไกล ได้ ตัวแรก เกิดตอน คำขอ ชนเพดาน memory_limit ในจังหวะ ที่ไม่ดี จนหน่วยความจำ เสียหาย บนเซิร์ฟเวอร์ Apache ที่ใช้ mod_php คนร้าย ไม่ต้อง ล็อกอินเลย ก็ยิงได้ ตั้งแต่ ก่อนที่ โค้ดของเว็บ จะเริ่มทำงาน และทีมงาน ยืนยันว่า รันโค้ดบน PHP-FPM ได้ด้วย ผ่านเส้นทาง ในโค้ดของแอป ส่วนตัวที่สอง เกิดจากสถานะ ภายในค้างอยู่ หลัง error แล้วคำขอ ถัดไป ไปใช้ หน่วยความจำ ที่ถูกคืนไปแล้ว ต่อ

Tenable สรุปจาก ประกาศของ PHP ว่า ทุกเครื่อง ที่ใช้ PHP ตอบคำขอ จากเว็บ มีความเสี่ยง ไม่ว่าจะเป็น PHP-FPM, Apache กับ mod_php, php-cgi, FrankenPHP หรือ LiteSpeed โดย mod_php เสี่ยงที่สุด ถ้าเว็บเรา อยู่หลัง Cloudflare กฎ WAF ของ Cloudflare ช่วยกันได้ แค่ชั่วคราว และกันได้ เฉพาะทราฟฟิก ที่วิ่งผ่าน Cloudflare เท่านั้น ทางแก้ ที่ครบจริง มีทางเดียว คือ อัปเดต PHP

เวอร์ชัน ที่แก้แล้ว คือ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ตามรายงาน ของ Tenable รุ่น 7.4 ถึง 8.1 ไม่มีเวอร์ชัน ออกใหม่ แบบทางการ มีแต่ โค้ดแก้ ให้คอมไพล์ เอง ส่วนรุ่น 5.4 ถึง 7.3 หมดอายุ ไปแล้ว ไม่มีแพตช์ จากทีม PHP ต้องย้าย ไปเวอร์ชัน ที่ยังได้รับ การดูแล

ตอนออกแพตช์ The PHP Foundation บอกว่า ยังไม่พบ exploit ที่ใช้งาน ได้จริง แต่ Tenable รวบรวม รายงานไว้ว่า Amazon เห็น การพยายาม โจมตี ตั้งแต่ 17 ตุลาคม และพบอีก ในวันที่ 21 ตุลาคม ส่วน Cloudflare กับ watchTowr ก็รายงาน การพยายามโจมตี เช่นกัน และบริษัท Calif รายงานว่า ยืนยันการโจมตี WordPress บางเวอร์ชัน ได้โดยไม่ต้องล็อกอิน

มีผลกับครีเอเตอร์และร้านค้าไทยยังไง

ถ้าเว็บ ของเรา อยู่บนโฮสต์ แบบแชร์ ส่วนใหญ่ เจ้าของโฮสต์ จะเป็นคน อัปเดต PHP ให้ แต่เรา ไม่ควร เดาเอาเอง เพราะถ้าเว็บ ถูกเจาะ ข้อมูล ของลูกค้า ที่กรอกฟอร์ม หรือสั่งของ ไว้ อาจหลุด ออกไป และกู้คืน ยากกว่า การเช็ค ล่วงหน้า หลายเท่า เว็บที่เปิด ร้านค้าออนไลน์ หรือรับจอง คิวถ่ายภาพ ยิ่งต้องรีบ ส่วนคนที่ เช่าเซิร์ฟเวอร์ เอง หรือ VPS ต้องอัปเดต เองทั้งหมด ถ้าใช้แพ็กเกจ PHP จาก Linux อย่าง Ubuntu หรือ Debian ให้ดูประกาศ ของดิสโทร นั้นด้วย เพราะ Tenable ระบุว่า ดิสโทรต่าง ๆ ได้รับแพตช์ ล่วงหน้าแล้ว

ลองเช็คเว็บของเราตอนนี้

เริ่มจาก เข้าหลังบ้าน WordPress ไปที่ เครื่องมือ แล้วเลือก สุขภาพเว็บไซต์ กดแท็บ ข้อมูล แล้วเปิด หัวข้อ เซิร์ฟเวอร์ จะเห็น เวอร์ชัน PHP ที่ใช้อยู่ ถ้าตัวเลข ต่ำกว่า เวอร์ชันที่แก้แล้ว ในสาย เดียวกัน ให้ส่งข้อความ ถามโฮสต์ ตรง ๆ ว่า อัปเดตแพตช์ ของวันที่ 21 ตุลาคม แล้วหรือยัง ก่อนกดอะไร ให้สำรองเว็บ ทั้งไฟล์ และฐานข้อมูล ไว้ก่อน เผื่อปลั๊กอิน รุ่นเก่า ไม่รองรับ เวอร์ชันใหม่ ถ้าเว็บ ต้องปิดชั่วคราว ระหว่างแก้ ลองอ่าน วิกฤตโซเชียลของแบรนด์ ชั่วโมงแรกทำอะไรก่อน ไว้ใช้สื่อสาร กับลูกค้า ด้วย

ที่มา: The PHP Foundation และ Tenable

โยชูวา สมารมย์CreatorSchoolThailand

Yochuwa is the founder and editor-in-chief of CreatorSchoolThailand, a Thai media and education brand built for people who make media. His YouTube channel has grown past 145,000 subscribers and earned YouTube's Silver Creator Award, making it a go-to source for photography, filmmaking and content strategy in Thailand.

His approach is to teach the thinking behind the craft: how light, sound, story and platforms really work, so creators can make better decisions with whatever gear they own. Yochuwa has partnered with leading imaging brands including SIGMA Thailand and NiSi, runs the camera store Snapshot, and brings a background in web development to building CreatorSchoolThailand into a modern publisher for Thailand's creator economy.

บทความล่าสุด