PHP ออกแพตช์แก้ช่องโหว่ RCE ร้ายแรง 2 รายการที่ค้นพบด้วยโมเดล AI แนวหน้า

โครงการ PHP เผยแพร่ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 เมื่อวันที่ 21 ตุลาคม 2026 โดยเป็นรุ่นอัปเดตด้านความปลอดภัยที่แก้ช่องโหว่ร้ายแรง 2 รายการ ซึ่งอาจเปิดทางให้เรียกใช้โค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน และค้นพบด้วยโมเดล AI แนวหน้า การเปิดเผยข้อมูลช่องโหว่ที่ประสานงานร่วมกันนี้เกี่ยวข้องกับโครงการ PHP, OpenAI, บริษัทวิจัยด้านความปลอดภัย Calif และบริษัทด้านความปลอดภัยบนคลาวด์ Wiz

รุ่นที่ออกแพตช์แก้ไข

คำแนะนำด้านความปลอดภัยของโครงการ PHP ระบุว่ารุ่นทั้งสี่แก้ช่องโหว่ CVE-2026-109618 ซึ่งอธิบายว่าเป็นการเรียกใช้โค้ดจากระยะไกลผ่านการทำให้หน่วยความจำเสียหายเมื่อหน่วยความจำหมด และ CVE-2026-109619 ซึ่งอธิบายว่าเป็นการเรียกใช้โค้ดจากระยะไกลผ่านสถานะส่วนกลางที่ค้างอยู่ ประกาศล่วงหน้าจากทีมความปลอดภัยของ PHP เมื่อวันที่ 20 ตุลาคม 2026 ให้คะแนนช่องโหว่ทั้งสองรายการไว้ที่ CVSS v4.0 9.2 และกำหนดเผยแพร่รุ่นแก้ไขในวันที่ 21 ตุลาคม เวลา 14:00 UTC

คำแนะนำดังกล่าวระบุว่าการติดตั้ง PHP ทุกชุดที่ให้บริการคำขอเว็บมีความเสี่ยง ซึ่งรวมถึง PHP-FPM, Apache ที่ใช้ mod_php, php-cgi, FrankenPHP และ LiteSpeed โดยประเมินว่าความเสี่ยงสูงที่สุดสำหรับ mod_php เนื่องจากมีการสาธิตแล้วว่าสามารถกระตุ้นการโจมตีได้ด้วยคำขอที่ไม่ต้องยืนยันตัวตน ก่อนที่โค้ดของแอปพลิเคชันใด ๆ จะเริ่มทำงาน

โครงการระบุว่าไม่มีวิธีบรรเทาความเสี่ยงใดที่แก้ปัญหาได้อย่างสมบูรณ์ และการอัปเดตเป็นทางเลือกเดียวที่ปลอดภัย แม้จะระบุการตั้งค่าชั่วคราวที่ช่วยลดความเสี่ยงจากช่องทางการโจมตีบางรูปแบบไว้ก็ตาม ดิสทริบิวชัน Linux และผู้ให้บริการ LTS ได้รับแพตช์ล่วงหน้าแล้ว ทีมความปลอดภัยของ PHP ยังจัดทำแพตช์ย้อนกลับจากซอร์สโค้ดแบบขั้นต่ำสำหรับ PHP 7.4, 8.0 และ 8.1 ซึ่งไม่ได้รับการอัปเดตอีกต่อไป พร้อมระบุว่า PHP 8.2 จะสิ้นสุดอายุการใช้งานในวันที่ 31 ธันวาคม 2026

ช่องโหว่และการโจมตีด้วย php2shell

การเปิดเผยข้อมูลทางเทคนิคของ Wiz Researchอธิบายว่า CVE-2026-109618 ครอบคลุมช่องโหว่ use-after-free ในตัวถอดรหัสข้อมูลที่เรียงลำดับกลับสำหรับการติดตามความคืบหน้าการอัปโหลด และการเปิดเผยหน่วยความจำของโพรเซสจากระยะไกล ส่วน CVE-2026-109619 ครอบคลุมช่องโหว่ use-after-free ใน backtrace ของข้อผิดพลาดร้ายแรง และความสับสนของชนิดข้อมูลใน OPcache ทั้งหมดเป็นปัญหาด้านความปลอดภัยของหน่วยความจำ ซึ่งเกิดจากวิธีที่ PHP จัดการกับข้อผิดพลาดร้ายแรง โดยเฉพาะข้อผิดพลาดเมื่อหน่วยความจำหมด ระหว่างประมวลผลคำขอ

Wiz ระบุว่า PHP ทุกเวอร์ชันที่เผยแพร่ในช่วง 10 ปีที่ผ่านมาได้รับผลกระทบจากช่องโหว่อย่างน้อยหนึ่งรายการ ย้อนกลับไปถึงเวอร์ชัน 5.4 ส่วน Calif รายงานว่าช่องทางที่ได้รับผลกระทบเก่าที่สุดเท่าที่ตรวจพบมีมาตั้งแต่ PHP 5.4.0 และช่องทางการโจมตีซึ่งขึ้นอยู่กับเวอร์ชันของ PHP และ SAPI นั้นสามารถใช้โจมตีได้เสมอเมื่อใช้การตั้งค่าเริ่มต้น

Wiz รวมช่องโหว่ทั้งสองไว้ในสคริปต์โจมตีตัวเดียวชื่อ php2shell และสาธิตการเรียกใช้โค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตนกับอิมเมจคอนเทนเนอร์เวอร์ชันล่าสุดของ WordPress, Drupal และ Joomla นอกจากนี้ ยังสาธิตการเปิดเผยข้อมูลหน่วยความจำของ worker ของ PHP โดยไม่ขึ้นกับแอปพลิเคชัน ซึ่งอาจมีรหัสผ่าน โทเค็นการยืนยันตัวตน คีย์ API และใบรับรอง รายงานของ Califระบุว่ายืนยันการเรียกใช้โค้ดจากระยะไกลก่อนการยืนยันตัวตนได้บน WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 และ WHMCS รวมถึงสคริปต์ PHP ทั่วไปในบางกรณี

Wiz อธิบายว่า PHP เป็นเทคโนโลยีที่ขับเคลื่อนเว็บไซต์ทั้งหมด 70% ซึ่งรวมถึง WordPress, Joomla, Drupal และ MediaWiki ของ Wikipedia และจัดให้ช่องโหว่ที่ค้นพบเหล่านี้อยู่ในกลุ่มช่องโหว่ที่ร้ายแรงที่สุดเท่าที่เคยพบใน PHP

โมเดล AI แนวหน้าค้นพบช่องโหว่ได้อย่างไร

OpenAI ระบุว่าในช่วงสองเดือนที่ผ่านมา บริษัทได้นำแนวร่วมของผู้ดูแลโครงการ นักวิจัย และผู้ให้บริการด้านความปลอดภัยมาร่วมกันแก้ไขช่องโหว่ โดย Calif ใช้โมเดล GPT-5.6 Sol ระบุช่องโหว่ร้ายแรงซึ่งเป็นส่วนหนึ่งของโครงการ Patch the Planet ของ OpenAI ขณะที่ Wiz ค้นพบและรายงานช่องโหว่ทั้งสองรายการโดยอิสระ ผู้ดูแล PHP เป็นผู้นำในการแก้ไขและเผยแพร่รุ่นอัปเดต

ลำดับเวลาของผู้เข้าร่วมแสดงให้เห็นว่ามีการค้นพบโดยอิสระที่เกิดขึ้นในช่วงเวลาเหลื่อมซ้อนกัน มูลนิธิ PHP บันทึกว่า Calif เริ่มการตรวจสอบเมื่อวันที่ 30 กรกฎาคม 2026 และ Ryan A นักวิจัยของ Calif รายงานช่องโหว่ที่เปิดทางให้เรียกใช้โค้ดจากระยะไกลได้โดยไม่มีเงื่อนไขเมื่อวันที่ 11 สิงหาคม 2026 โดย OpenAI รายงานต้นตอเดียวกันโดยอิสระในวันเดียวกัน รายงานของ Calif ระบุว่าค้นพบช่องโหว่เมื่อวันที่ 1 สิงหาคม 2026 แชร์หลักฐานยืนยันแนวคิดการโจมตีแบบ RCE กับ PHP เมื่อวันที่ 14 สิงหาคม 2026, PHP ยืนยันช่องโหว่เมื่อวันที่ 15 สิงหาคม 2026 และรายงานข้อบกพร่องรายการที่สองเมื่อวันที่ 21 สิงหาคม 2026

Wiz รายงานว่าค้นพบช่องโหว่รายการแรกเมื่อวันที่ 19 สิงหาคม 2026 โดยใช้ Wiz Atlas, Gemini 4 Argon และ GPT-5.6 Sol จากนั้นยืนยันการเรียกใช้โค้ดโดยไม่ต้องยืนยันตัวตนบน Drupal เมื่อวันที่ 20 สิงหาคม 2026 และบน WordPress เมื่อวันที่ 21 สิงหาคม ก่อนรายงานช่องโหว่ต่อทีมความปลอดภัยของ PHP เมื่อวันที่ 24 สิงหาคม 2026 ตามข้อมูลของมูลนิธิ OpenAI เพิ่มช่องทางการโจมตีเพิ่มเติมเมื่อวันที่ 18 กันยายน 2026 และตามข้อมูลของ Wiz นั้น PHP รับทราบรายงานและเริ่มพัฒนาวิธีแก้ไขแบบประสานงานร่วมกันเมื่อวันที่ 21 กันยายน 2026

จุดอ่อนพื้นฐานนี้มีประวัติยาวนาน Calif เล่าว่า Stefan Esser พบช่องโหว่ PHP ที่โจมตีจากระยะไกลผ่านข้อจำกัดหน่วยความจำเป็นครั้งแรกในปี 2004 มีการรายงานข้อบกพร่องที่อธิบายภาวะหน่วยความจำหมดให้โครงการทราบในปี 2020 และการตรวจสอบในปี 2024 โดย OSTIF และ Quarkslab พบปัญหานี้อีกครั้ง แต่ไม่ได้พิสูจน์ว่าสามารถใช้โจมตีได้ มูลนิธิ PHP ระบุว่าการตรวจสอบในปี 2024 ได้รับเงินทุนจาก Sovereign Tech Agency และการพัฒนาวิธีแก้ไขหยุดชะงักแล้วกลับมาเริ่มใหม่ซ้ำหลายครั้งตลอดหลายเดือนว่า “เราจะไม่เสแสร้งเป็นอย่างอื่น ความล่าช้านี้เกิดจากความล้มเหลวเชิงโครงสร้าง”

OpenAI ระบุว่า เมื่อพิจารณาจากความร้ายแรงของช่องโหว่และการใช้งาน PHP อย่างแพร่หลาย บริษัทมองว่านี่เป็นหนึ่งในประเด็นด้านความปลอดภัยที่ส่งผลกระทบมากที่สุดในช่วงที่ผ่านมา และกล่าวว่าเท่าที่บริษัททราบ โมเดล AI แนวหน้าค้นพบช่องโหว่เหล่านี้ก่อนที่ผู้โจมตีจะพบ จึงเปิดโอกาสที่บริษัทเรียกว่า “ช่วงเวลาของฝ่ายป้องกัน” บริษัทให้คำมั่นว่าจะสนับสนุนการเข้าถึง Daybreak มูลค่า 1 พันล้านดอลลาร์สำหรับผู้ปฏิบัติงานแนวหน้าในการป้องกันภัยคุกคาม และเผยแพร่เครื่องมือตรวจสอบเวอร์ชัน PHP ในรูปแบบทักษะของ Codex บนคลัง GitHub ชื่อ openai/php2shell-checker

การเปิดเผยข้อมูลที่รั่วไหลและการฝ่าฝืนข้อตกลงห้ามเผยแพร่ก่อนกำหนด

PHP Foundation รายงานว่า การเปิดเผยข้อมูลที่ประสานงานกันยังคงเป็นความลับจนถึงสองวันก่อนวันที่กำหนดเผยแพร่ เวลาประมาณ 15:00 UTC ของวันที่ 20 ตุลาคม 2026 รหัส CVE ทั้งสองรายการเริ่มแพร่กระจายในฟอรัมออนไลน์และโซเชียลมีเดีย พร้อมระบุเวลาเผยแพร่ผิดและคะแนน CVSS ผิดเป็น 10.0 แม้จะไม่มีรายละเอียดทางเทคนิคหลุดออกมา โครงการ PHP เลื่อนการประกาศล่วงหน้าเป็นเวลา 19:30 UTC ในวันเดียวกัน และปรับวันเผยแพร่จากวันที่ 22 ตุลาคม 2026 มาเป็นวันที่ 21 ตุลาคม 2026 เวลา 14:00 UTC โดยระบุว่าผู้จัดจำหน่ายยังอยู่ระหว่างจัดทำแพ็กเกจการแก้ไข

Foundation ระบุว่า เวลาประมาณ 20:00 UTC ของวันที่ 20 ตุลาคม Calif เผยแพร่วิดีโอโดยผิดพลาด ซึ่งแสดงให้เห็นว่าแนวคิดพิสูจน์การทำงานของช่องโหว่ของตนใช้ได้กับเป้าหมายหลายรายการ และมีการเผยแพร่สำเนาวิดีโอต่อ จนนำไปสู่การเร่งพัฒนาโค้ดโจมตีเพื่อพิสูจน์แนวคิดรูปแบบต่าง ๆ ในวันที่ 21 ตุลาคม เวล่ 07:41 UTC ของวันที่ 21 ตุลาคม ซึ่งนานกว่าหกชั่วโมงก่อนการเผยแพร่ที่ประสานงานกัน Chainguard ฝ่าฝืนข้อตกลงห้ามเผยแพร่ก่อนกำหนดโดยไม่ได้รับความยินยอม และเผยแพร่อิมเมจที่สร้างไว้ซึ่งมีการแก้ไขรวมอยู่ด้วย ตามรายงานของ Foundation ทีมรักษาความปลอดภัยของ PHP เฝ้าติดตามโค้ดพิสูจน์แนวคิดที่ปรากฏขึ้นหลังข้อมูลรั่วไหล แต่ไม่พบการโจมตีที่ใช้งานได้จริงในช่วงเวลาที่เผยแพร่และเปิดเผยข้อมูลต่อสาธารณะ

การประสานงานกับรัฐบาลและกรอบการทำงานที่เสนอ

OpenAI ระบุว่าบริษัททำงานร่วมกับพันธมิตรเพื่อประสานงานกับหน่วยงานหลายส่วนของรัฐบาลสหรัฐฯ รวมถึง Super Intelligence Force ของทำเนียบขาว, Office of the National Cyber Director และ Cybersecurity and Infrastructure Security Agency ตลอดจนพันธมิตรระหว่างประเทศ เพื่อช่วยให้แนวทางด้านความปลอดภัยไปถึงองค์กรสำคัญต่าง ๆ Wiz ระบุว่า ก่อนเปิดเผยข้อมูลต่อสาธารณะ บริษัทได้ร่วมมือกับ Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva และองค์กรอื่น ๆ เพื่อจัดเตรียมแนวทางสำหรับลูกค้า ระบบตรวจจับ และมาตรการบรรเทาผลกระทบที่พร้อมใช้งานทันที สำหรับองค์กรที่ยังไม่สามารถอัปเดตได้ในทันที

OpenAI ยังเผยแพร่กรอบการทำงานห้าขั้นที่เสนอขึ้นเพื่อรับมือกับช่องโหว่ร้ายแรงในซอฟต์แวร์ที่มีผู้ใช้อย่างแพร่หลาย ได้แก่ การตรวจสอบยืนยันและแก้ไขช่องโหว่ในซอฟต์แวร์ต้นทาง การให้เวลาองค์กรที่ได้รับผลกระทบดำเนินการ การประสานงานกับพันธมิตรภาครัฐ การเตรียมอัปเดตสำหรับผลิตภัณฑ์ที่ได้รับผลกระทบ และการเผยแพร่แนวทางเมื่อมีแพตช์พร้อมใช้งาน บริษัทขอความคิดเห็นจากชุมชนด้านความปลอดภัยเกี่ยวกับแนวทางนี้

PHP Foundation ซึ่งจัดตั้งทีมรักษาความปลอดภัยระบบนิเวศในเดือนพฤษภาคม 2026 และจ้าง Alexandre Daubois ในเดือนกรกฎาคม 2026 กับ Daniel Scherzer ในเดือนกันยายน 2026 ระบุว่า นับตั้งแต่วันที่ 1 กรกฎาคม 2026 ทีมได้เผยแพร่ CVE ไปแล้ว 15 รายการ ขณะเดียวกันก็ตรวจสอบรายงานมากกว่า 100 รายการ ซึ่งพบว่าเป็นรายงานที่ไม่ถูกต้อง รายงานซ้ำ หรือไม่สามารถทำซ้ำได้ มูลนิธิเรียกร้องให้บริษัท ผู้ให้บริการโฮสติ้ง แพลตฟอร์มคลาวด์ ผู้จัดจำหน่าย และรัฐบาลที่ให้บริการซึ่งทำงานบน PHP สนับสนุนเงินทุน