PHP แจ้งเตือนผู้ดูแลระบบถึงช่องโหว่ระดับ Critical 2 รายการ ที่เตรียมปล่อยแพตช์แก้ไขฉุกเฉินด่วน

ทีม Security ของ PHP ได้ออกประกาศเตือนให้ผู้ดูแลระบบเตรียมพร้อมอัปเดตแพตซ์ความปลอดภัยฉุกเฉินที่จะปล่อยออกมาก่อนกำหนด เพื่อแก้ไขช่องโหว่ระดับ Critical 2 รายการ หลังจากมีรายงานว่าข้อมูลเกี่ยวกับช่องโหว่ดังกล่าวรั่วไหลออกมาก่อนกำหนดการเปิดเผยอย่างเป็นทางการ

PHP เป็นเทคโนโลยีเบื้องหลังเว็บไซต์ และเว็บแอปพลิเคชันจำนวนมาก รวมถึงระบบจัดการเนื้อหา (CMS), แพลตฟอร์มอีคอมเมิร์ซ และบริการเว็บที่พัฒนาขึ้นเฉพาะองค์กร

ในประกาศที่เผยแพร่เมื่อวันที่ 20 ตุลาคม 2026 ทีมพัฒนา PHP ระบุว่า จะปล่อยแพตซ์อัปเดตความปลอดภัยในวันพุธที่ 21 ตุลาคม 2026 เวลา 14:00 น. ตามเวลา UTC (หรือ 10:00 น. ตามเวลาฝั่งตะวันออกของสหรัฐฯ) เพื่อแก้ไขช่องโหว่ 2 รายการ โดยช่องโหว่แต่ละรายการได้รับคะแนนความรุนแรงที่ 9.2 ตามมาตรฐาน CVSS v4.0

นอกจากนี้ ทีม Security ของ PHP ยังได้ส่งแจ้งเตือนผ่านทางอีเมลกลุ่ม ANNOUNCE โดยแจ้งเตือนให้ผู้ดูแลระบบเตรียมพร้อมติดตั้งแพตซ์อัปเดตความปลอดภัยทันทีที่เปิดให้ใช้งาน

ทีมงาน PHP เตือนว่า "เราขอสงวนสิทธิ์ในการปล่อยอัปเดตเร็วกว่ากำหนด หากรายละเอียดของช่องโหว่ใดช่องโหว่หนึ่งรั่วไหลสู่สาธารณะ หรือหากพบหลักฐานว่ามีการใช้ช่องโหว่ดังกล่าวในการโจมตีจริง"

ทั้งนี้ ทีมพัฒนาไม่ได้เปิดเผยรายละเอียดทางเทคนิคเกี่ยวกับช่องโหว่ดังกล่าว รวมถึงไม่ได้ระบุว่า PHP เวอร์ชันใดบ้างที่ได้รับผลกระทบ, วิธีการโจมตี หรือเวอร์ชันใดที่จะได้รับการแก้ไข

อย่างไรก็ตาม นักวิจัยด้านความปลอดภัยจากบริษัท watchTowr ได้เปิดเผยกับ BleepingComputer ว่า ช่องโหว่ดังกล่าว ซึ่งมีหมายเลข CVE-2026-109618 และ CVE-2026-109619 เป็นช่องโหว่ประเภทการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution - RCE) โดยคาดว่าส่งผลกระทบต่อ PHP เวอร์ชัน 5, 6, 7 และ 8

นักวิจัยชี้แจงว่า ยังไม่พบการโจมตีโดยใช้ช่องโหว่เหล่านี้ในขณะนี้ แม้จะมีรายงานว่าข้อมูลได้รั่วไหลออกมาก่อนกำหนดการเปิดเผยที่วางไว้ก็ตาม

การแจ้งเตือนดังกล่าวเกิดขึ้นหลังจากมีโพสต์บนฟอรัม Hacker News ของ Y Combinator (ซึ่งปัจจุบันถูกลบไปแล้ว) โดยผู้ใช้รายหนึ่งที่ชื่อ "petecooper" อ้างว่า จะมีช่องโหว่ร้ายแรงระดับ Critical ใน PHP ที่ทำให้ Hacker สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ได้ โดยจะมีการเปิดเผยรายละเอียดในวันที่ 22 ตุลาคม 2026

โพสต์ดังกล่าวซึ่ง BleepingComputer ได้เห็นก่อนที่จะถูกลบไประบุว่า ช่องโหว่ทั้งสองรายการมีคะแนนความรุนแรงตามมาตรฐาน CVSS อยู่ที่ 10.0 และส่งผลกระทบต่อ PHP หลายเวอร์ชัน ย้อนไปจนถึง PHP 5

นอกจากนี้ โพสต์ดังกล่าวยังระบุหมายเลขช่องโหว่ว่าเป็น CVE-2026-109618 และ CVE-2026-109619 ซึ่งตรงกับหมายเลขที่ watchTowr ได้เปิดเผยในภายหลัง

อย่างไรก็ตาม ข้อมูลจาก watchTowr และโพสต์บน Hacker News นั้นแตกต่างจากประกาศอย่างเป็นทางการของ PHP โดยในขณะที่แหล่งข้อมูลเหล่านั้นระบุว่าช่องโหว่มีความรุนแรงระดับ CVSS 10.0 แต่ทีมความปลอดภัยของ PHP ได้ประเมินคะแนนความรุนแรงตามมาตรฐาน CVSS v4.0 ไว้ที่ 9.2

นอกจากนี้ watchTowr ยังระบุถึงกำหนดการเปิดเผยช่องโหว่เดิมที่เป็นวันพฤหัสบดีที่ 22 ตุลาคม 2026 ในขณะที่ PHP ได้เปลี่ยนกำหนดการปล่อยแพตซ์อัปเดตความปลอดภัยอย่างเป็นทางการเป็นวันพุธที่ 21 ตุลาคม 2026 แทน

ทั้งนี้ ทีม Security ของ PHP ระบุว่า จะเผยแพร่รายละเอียดทางเทคนิคทั้งหมด รวมถึงเวอร์ชันที่ได้รับผลกระทบ และเวอร์ชันที่ได้รับการแก้ไขแล้ว เมื่อมีการปล่อยแพตซ์อัปเดตความปลอดภัยออกมาอย่างเป็นทางการ

ที่มา : Bleepingcomputer.com