ช่องโหว่ “PHP2Shell” (CVE-2026-109618 / CVE-2026-109619) ช่องโหว่สุดอันตรายที่คนทำเว็บ และดูแลเซิร์ฟเวอร์ต้องรู้!

ในช่วงวันที่ 21-22 ตุลาคม 2026 ที่ผ่านมา วงการ Cybersecurity และผู้ดูแลเว็บไซต์ทั่วโลกน่าจะได้ยินข่าวที่ทำให้ต้องตื่นเต้นกันอีกครั้ง เมื่อมีการเปิดเผยช่องโหว่ระดับ Critical ในภาษา PHP ที่ได้รับชื่อเรียกชวนขนลุกว่า "PHP2Shell" วันนี้เราจะมาเจาะลึกว่ามันคืออะไร ทำไมถึงอันตราย และองค์กรจะต้องทำอย่างไรให้รอดจากช่องโหว่นี้ได้

"PHP2Shell" คืออะไร?
PHP2Shell ไม่ใช่ Virus หรือ Malware แต่เป็น "ชื่อเล่น" ที่นักวิจัยด้านความปลอดภัยตั้งให้กับช่องโหว่ระดับ Critical 2 รายการใน Core PHP ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ความน่ากลัวคือช่องโหว่นี้กระทบกับ PHP เป็นวงกว้างมาก ๆ ตั้งแต่เวอร์ชัน 5 ไปจนถึง 8 เลยทีเดียว

ทำไมถึงอันตรายมาก
สาเหตุหลักของช่องโหว่ทั้ง 2 ตัวนี้ เกิดจากความผิดพลาดในการจัดการหน่วยความจำ (Memory Management) ของ PHP

  • CVE-2026-109618 : ช่องโหว่นี้เกิดขึ้นตอนที่ PHP พยายามจัดการกับปัญหา "Out-of-memory" ขณะกำลังประมวลผล Request หากเกิด Error หรือถูกขัดจังหวะกะทันหัน เมื่อระบบพยายามเคลียร์ข้อมูล (Cleanup) มันดันมองว่าข้อมูลที่ไม่สมบูรณ์เหล่านั้นเป็นข้อมูลที่ถูกต้อง แฮ็กเกอร์จึงอาศัยจังหวะนี้แทรกแซงหน่วยความจำ และป้อนโค้ดของตัวเองให้เซิร์ฟเวอร์รันได้
  • CVE-2026-109619 : เมื่อมี Request เข้ามา และใช้งานเสร็จแล้ว PHP จะต้องคืนหน่วยความจำ (Free memory) กลับไป แต่ปรากฏว่าข้อมูลสถานะบางอย่างของ Request นั้นดันไม่ถูกล้างทิ้งไปด้วย เมื่อมี Request ใหม่เข้ามา และถูกประมวลผลโดย Worker ตัวเดิม มันอาจเผลอไปดึงเอา "ข้อมูลเก่าที่ตกค้าง" มาใช้ก่อนที่ระบบจะทำการรีเซ็ตค่าใหม่ แฮ็กเกอร์จึงสร้าง Request พิเศษเพื่อฝังโค้ดอันตรายเอาไว้ในสถานะตกค้างเหล่านั้น

ทำไมมันถึง "วิกฤต" ระดับโลก?
เหตุผลที่ช่องโหว่นี้ได้ชื่อว่า PHP2Shell (จาก PHP ทะลุไปสู่การยึด Shell ของเซิร์ฟเวอร์) เพราะมันนำไปสู่การทำ Remote Code Execution (RCE) ได้ นั่นแปลว่าแฮ็กเกอร์สามารถส่ง Request ที่สร้างขึ้นมาเป็นพิเศษเข้ามาที่เว็บไซต์แล้วแอบรันโค้ด หรือคำสั่งอันตรายบนเซิร์ฟเวอร์ได้เลย โดยที่ไม่ต้องใช้รหัสผ่าน หรือล็อกอินเข้าสู่ระบบใด ๆ ทั้งสิ้น

รวมถึง PHP เป็นภาษาการพัฒนาเว็บที่ขับเคลื่อนเว็บไซต์ 75% ถึง 80% รวมถึงเว็บไซต์ที่ใช้ระบบจัดการเนื้อหา (CMS) เช่น WordPress, Joomla และ Drupal

จากข้อมูลการประเมินของ VirusTotal พบว่ามีโฮสต์ PHP มากกว่า 5.1 ล้านเครื่องที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต

ดังนั้น หากเราใช้ WordPress หรือ CMS อื่น ๆ การอัปเดตแค่ตัว WordPress, ธีม หรือปลั๊กอิน ไม่ช่วยอะไรเลย เพราะช่องโหว่นี้อยู่ที่ตัวภาษา PHP บนเซิร์ฟเวอร์

วิธีรับมือ และป้องกันหากคุณเป็นผู้ดูแลระบบ (System Admin)

  • อัปเดต PHP ด่วนที่สุด: ให้อัปเดต PHP เป็นเวอร์ชันที่ได้รับการแก้ไขแล้ว เพื่อแก้ไขช่องโหว่ทั้งสองรายการ และที่สำคัญคือ อาจต้องมีการรีสตาร์ทเซอร์วิส เช่น Apache, PHP-FPM, Nginx หลังอัปเดตเพื่อให้โค้ดชุดใหม่ทำงาน
  • ตรวจสอบกับ Hosting Provider: หากใช้ Shared Hosting ให้รีบสอบถามผู้ให้บริการทันทีว่าได้ทำการอัปเดตแพตช์รักษาความปลอดภัยสำหรับ PHP2Shell แล้วหรือยัง
  • เปิดใช้งานการป้องกันเบื้องต้นด้วย Virtual Patching จากอุปกรณ์ต่าง ๆ: ปัจจุบันอุปกรณ์ทางด้าน Security ต่าง ๆ ได้ทยอยออก Threat Signature เพื่อช่วยป้องกันการโจมตีในเบื้องต้นสำหรับองค์กรที่ยังไม่สามารถอัปเดตแพตซ์ได้ออกมาแล้ว เช่น Imperva, Paloalto และ Cloudflare
  • ใช้มาตรการลดความเสี่ยงจากคำแนะนำของ PHP: หากยังไม่สามารถอัปเดตได้ทันที สามารถนำมาตรการลดความเสี่ยงที่ PHP แนะนำไว้บนเว็บไซต์มาปรับใช้ได้ แต่ทาง PHP เองก็เตือนว่าวิธีดังกล่าวอาจไม่ได้ช่วยป้องกันการโจมตีได้อย่างสมบูรณ์ https://www[.]php[.]net/index.php#2026-10-20-1

สรุป
"PHP2Shell" เป็นอีกหนึ่งคำเตือนว่า ไม่มีซอฟต์แวร์ใดในโลกที่สมบูรณ์แบบ แม้แต่ภาษาที่เป็นรากฐานของเว็บไซต์กว่าครึ่งโลกอย่าง PHP ก็ตาม การติดตามข่าวสาร Cybersecurity และหมั่นอัปเดตระบบให้เป็นปัจจุบัน จึงยังคงเป็นเกราะป้องกันที่ดีที่สุดเสมอ

อ้างอิงจาก: