PHP พบ 2 ช่องโหว่ระดับวิกฤต คะแนน 9.2/10 ควรอัปเดตทันที

PHP พบ 2 ช่องโหว่ระดับวิกฤต คะแนน 9.2/10 ควรอัปเดตทันที

PHP ออกแพตช์แก้ช่องโหว่ร้ายแรง 2 รายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ทั้งคู่ได้คะแนนความรุนแรง 9.2 จาก 10 ช่องโหว่อาจเปิดทางให้ผู้โจมตีส่งคำขอผ่านอินเทอร์เน็ต แล้วสั่งให้เซิร์ฟเวอร์ทำงานตามที่ต้องการได้

ผู้ดูแลเว็บไซต์และเซิร์ฟเวอร์ที่ใช้ PHP ควรตรวจสอบเวอร์ชันและติดตั้งแพตช์โดยเร็ว โดยเฉพาะเว็บไซต์ที่เปิดให้คนทั่วไปใช้งาน (ประกาศจากทีม PHP)

ช่องโหว่เกิดจากอะไร?

ช่องโหว่ทั้งสองเกี่ยวข้องกับวิธีที่ PHP จัดการข้อมูลและหน่วยความจำระหว่างประมวลผลคำขอจากผู้ใช้

• CVE-2026-109618: เกิดเมื่อ PHP จัดการหน่วยความจำไม่สำเร็จ แล้วนำข้อมูลที่ยังไม่สมบูรณ์ไปใช้ต่อ

• CVE-2026-109619: ข้อมูลจากคำขอก่อนหน้าอาจค้างอยู่ในระบบ และถูกนำไปใช้กับคำขอถัดไป

หากโจมตีสำเร็จ ผู้โจมตีอาจสั่งให้ PHP ทำงานด้วยสิทธิ์ของโปรเซสที่ให้บริการเว็บไซต์ได้ ความเสี่ยงจริงขึ้นอยู่กับการตั้งค่าและระบบที่ใช้งาน โดยทีม PHP ระบุว่าบางรูปแบบ เช่น Apache ที่ใช้ mod_php มีความเสี่ยงสูงเป็นพิเศษ (รายละเอียดช่องโหว่ CVE-2026-109618, รายละเอียดช่องโหว่ CVE-2026-109619)

เวอร์ชันที่แก้ไขแล้ว

อัปเดต PHP ให้เป็นเวอร์ชันต่อไปนี้หรือใหม่กว่า:

หากใช้ PHP รุ่นเก่า หรือดาวน์โหลด PHP ผ่านผู้ให้บริการโฮสติ้ง ให้สอบถามผู้ให้บริการว่าได้ติดตั้งแพตช์แก้ช่องโหว่แล้วหรือยัง PHP รุ่นเก่าบางรุ่นอาจไม่ได้รับการอัปเดตจากทีม PHP โดยตรง (รายการเวอร์ชันที่ได้รับผลกระทบ)

ผู้ดูแลเว็บไซต์ควรทำอะไร?

1. ตรวจสอบเวอร์ชัน PHP ที่ใช้งานบนเว็บไซต์และเซิร์ฟเวอร์

2. อัปเดต PHP เป็นเวอร์ชันที่มีแพตช์ หากไม่สามารถอัปเดตเองได้ ให้ติดต่อโฮสติ้งหรือผู้ดูแลระบบ

3. รีสตาร์ตบริการ PHP หลังอัปเดต เพื่อให้ระบบเริ่มทำงานด้วยเวอร์ชันใหม่

4. ทดสอบเว็บไซต์ เช่น หน้าเว็บ ระบบเข้าสู่ระบบ และการอัปโหลดไฟล์

5. หากเว็บไซต์ใช้เวอร์ชันที่มีช่องโหว่และเปิดให้เข้าถึงจากอินเทอร์เน็ต ควรตรวจสอบ log และไฟล์ที่เปลี่ยนแปลงผิดปกติด้วย

การเปลี่ยนค่าตั้งค่าบางอย่างอาจลดความเสี่ยงได้เพียงบางกรณี ไม่สามารถแทนการติดตั้งแพตช์ได้ การอัปเดต PHP เป็นวิธีแก้ไขหลักที่ทีม PHP แนะนำ (คำแนะนำจากทีม PHP)

ใช้ Shared Hosting ต้องทำอย่างไร?

หากไม่ทราบวิธีตรวจสอบหรืออัปเดต PHP ให้ติดต่อผู้ให้บริการโฮสติ้งและถามว่า:

• เซิร์ฟเวอร์ใช้ PHP เวอร์ชันใด

• ได้ติดตั้งแพตช์แก้ CVE-2026-109618 และ CVE-2026-109619 แล้วหรือไม่

• หากยังไม่ได้อัปเดต จะดำเนินการเมื่อใด

คำถามที่พบบ่อย

ช่องโหว่นี้กระทบเฉพาะ WordPress หรือไม่?

ไม่ใช่ ช่องโหว่อยู่ใน PHP จึงอาจกระทบเว็บไซต์หรือระบบอื่นที่ใช้ PHP ด้วย ไม่ได้จำกัดเฉพาะ WordPress

ปิดการแสดงข้อความ error แล้วปลอดภัยหรือไม่?

ไม่ปลอดภัยพอ การปิดข้อความ error ไม่ได้แก้ช่องโหว่เหล่านี้ ควรอัปเดต PHP เป็นเวอร์ชันที่มีแพตช์

อัปเดตแล้วต้องทำอะไรต่อ?

รีสตาร์ตบริการ PHP และทดสอบเว็บไซต์ หากก่อนหน้านี้ใช้เวอร์ชันที่มีช่องโหว่ ควรตรวจ log และไฟล์ที่เปลี่ยนแปลงผิดปกติ

สรุป

PHP พบช่องโหว่ร้ายแรง 2 รายการ คะแนน 9.2/10 ซึ่งอาจทำให้ผู้โจมตีสั่งให้เซิร์ฟเวอร์ทำงานผ่าน PHP ได้ ผู้ดูแลเว็บไซต์ควรตรวจสอบเวอร์ชันและอัปเดตโดยเร็ว หากดูแลเซิร์ฟเวอร์เองไม่ได้ ให้ติดต่อผู้ให้บริการโฮสติ้งเพื่อยืนยันสถานะของแพตช์