เตือนภัย PHP2Shell: แพตช์เซิร์ฟเวอร์ที่ใช้อยู่ ปลดระวางเครื่องที่ถูกลืม

Read in English

เตือนภัยทั้งประเทศ เพราะช่องโหว่ในภาษาที่อยู่เบื้องหลังเว็บไซต์ส่วนใหญ่

วันที่ 22 ตุลาคม 2569 หน่วยงานไซเบอร์ของไทยเร่งรับมือช่องโหว่ร้ายแรง 2 รายการใน PHP ภาษาโปรแกรมที่ใช้สร้างเว็บไซต์จำนวนมหาศาลทั่วโลก ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ภายใต้ สกมช. ออกประกาศแจ้งเตือนว่าช่องโหว่ CVE-2026-109618 และ CVE-2026-109619 หรือที่เรียกกันว่า "PHP2Shell" เปิดทางให้ผู้โจมตีที่ไม่มีบัญชีผู้ใช้ส่งคำขอที่สร้างขึ้นเป็นพิเศษ เพื่อรันคำสั่งบนเว็บเซิร์ฟเวอร์และควบคุมระบบจากภายนอกได้ ทั้งสองรายการได้คะแนน CVSS v4.0 สูงถึง 9.2 และมีโค้ดสาธิตการโจมตี (PoC) เผยแพร่สู่สาธารณะแล้ว

ในวันเดียวกัน ศ.ดร.ยศชนัน วงศ์สวัสดิ์ รองนายกรัฐมนตรีและ รมว.อว. สั่งให้มหาวิทยาลัยและโรงพยาบาลโรงเรียนแพทย์ไล่ตรวจทุกระบบที่ใช้ PHP โดยเริ่มจากระบบข้อมูลผู้ป่วยและฐานข้อมูลนักศึกษา ขณะที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) แนะนำให้ผู้ดูแลเว็บไซต์อัปเดตระบบ ตรวจ log หาความผิดปกติ และเข้าสู่ขั้นตอนรับมือเหตุละเมิดข้อมูลทันทีหากสงสัยว่าข้อมูลรั่ว ตามรายงานของบางกอกโพสต์ ซึ่งระบุด้วยว่าทีมวิจัยของ OpenAI พบช่องโหว่นี้ตั้งแต่เดือนสิงหาคมและเก็บเป็นความลับจนกว่าแพตช์จะพร้อม และถ้อยแถลงของทางการเป็นมาตรการป้องกัน ยังไม่มีการยืนยันว่ามีข้อมูลในไทยรั่วไหลจาก PHP2Shell

เวอร์ชันที่แก้ไขแล้วคือ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 ขึ้นไป ส่วน PHP 8.1 และเก่ากว่าหมดระยะการสนับสนุนแล้ว ไม่มีแพตช์จากโครงการ PHP โดยตรง ThaiCERT จึงแนะนำให้ย้ายไปใช้รุ่นที่ยังได้รับการสนับสนุน หรือใช้แพตช์จาก Linux Distribution หรือผู้ให้บริการ Extended Support และเมื่อวันที่ 23 ตุลาคม ThaiCERT ยังแจ้งเตือนช่องโหว่ใหม่ CVE-2026-115560 ในการจัดการ Session ของ PHP ที่ยังไม่มีแพตช์ พร้อมย้ำให้ปิด Session Upload Progress ไว้ชั่วคราว ตามที่ THAI DATA สรุปไว้

ข้อความในประกาศที่หลายบริษัทมักมองข้าม

ThaiCERT ขอให้องค์กรตรวจเวอร์ชัน PHP ในทุกระบบที่มี ทั้ง Web Server, Application Server, Container, Hosting Control Panel ผลิตภัณฑ์สำเร็จรูปที่มี PHP อยู่ข้างใน และระบบสำรอง ส่วนเครื่องที่ยังแพตช์ไม่ได้และใช้มาตรการชั่วคราวไม่ได้ ให้พิจารณาแยกออกจากอินเทอร์เน็ต หรือจำกัดให้เข้าได้เฉพาะ IP ที่อนุญาต

สำหรับเว็บไซต์หลักที่ฝ่ายการตลาดอัปเดตทุกสัปดาห์ เรื่องนี้ไม่ยาก แต่สำหรับระบบที่ไม่มีใครจำได้แล้วนั้นยากกว่ามาก ไม่ว่าจะเป็นไมโครไซต์แคมเปญปี 2562 ที่ยังรันอยู่บนเซิร์ฟเวอร์สำรอง อินทราเน็ตหรือพอร์ทัลฝ่ายบุคคลที่ยังใช้ PHP 7 เว็บร้านค้าเวอร์ชันทดสอบที่ใช้ฐานข้อมูลลูกค้าจริง หรือเครื่องสำรองข้อมูลที่ยังเปิดพอร์ต 80 อยู่ เครื่องเหล่านี้คือกลุ่มที่มักใช้ PHP รุ่นหมดอายุ และเป็นกลุ่มเดียวกับที่เก็บข้อมูลฟอร์ม บัญชีผู้ใช้ และข้อมูลลูกค้าสะสมมานานหลายปี

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

• เซิร์ฟเวอร์ที่ถูกลืมทุกเครื่องกลายเป็นคำถามที่ต้องตอบ ถ้าคุณบอกไม่ได้ว่าเครื่องไหนใช้ PHP รุ่นอะไร ใครเป็นเจ้าของ และเก็บข้อมูลอะไรไว้ คุณก็แพตช์ได้ไม่มั่นใจ และพิสูจน์ไม่ได้ว่าไม่มีใครเข้าไปแตะต้อง
• บางระบบควรปลดระวาง ไม่ใช่แพตช์ ถ้าเว็บหรือพอร์ทัลไหนไม่มีเจ้าของงานและไม่มีเหตุผลทางธุรกิจที่จะเปิดต่อ วิธีแก้ PHP2Shell ที่ประหยัดที่สุดคือปิดระบบไปเลย การย้ายแอป PHP 7 ที่ถูกทิ้งไว้ขึ้นรุ่นใหม่เพียงเพื่อให้มันอยู่ต่อแทบไม่คุ้ม
• ปิดเครื่องไม่เท่ากับลบข้อมูล เซิร์ฟเวอร์ที่ถอดปลั๊กไว้ในห้องเก็บของยังมีฐานข้อมูล โฟลเดอร์อัปโหลด และไฟล์สำรองอยู่ครบในดิสก์ ตามข้อกำหนด PDPA ข้อมูลส่วนบุคคลเหล่านั้นยังเป็นความรับผิดชอบของบริษัทจนกว่าจะมีหลักฐานว่าถูกทำลายแล้ว
• ผู้กำกับดูแลจับตาเหตุข้อมูลรั่วอย่างใกล้ชิด เมื่อวันที่ 21 ตุลาคม สคส. เปิดเผยกับสื่อว่าได้รับแจ้งเหตุละเมิดข้อมูลส่วนบุคคลรวม 1,650 เรื่อง ตั้งแต่ปี 2566 ถึง 31 พฤษภาคม 2569 โดยกลุ่มการเงิน การลงทุน และการประกันแจ้งเหตุมากที่สุด ตามรายงานของผู้จัดการออนไลน์

แผนเก็บกวาดหลัง PHP2Shell แบบทำได้จริง

1. ทำบัญชีทุกเครื่องและทุก Container ที่ให้บริการ PHP รวมถึงเว็บที่จ้างภายนอกทำ ระบบทดสอบ และเครื่องสำรอง บันทึกเวอร์ชัน ผู้รับผิดชอบ และข้อมูลส่วนบุคคลที่แต่ละเครื่องเก็บไว้
2. แพตช์ระบบที่ยังต้องใช้ เริ่มจากระบบที่เปิดออกอินเทอร์เน็ตและระบบที่เก็บข้อมูลลูกค้า ผู้ป่วย หรือนักศึกษา แล้ว Restart PHP Worker ตามคำแนะนำของ ThaiCERT
3. ระบบที่ไม่มีเจ้าของหรือไม่มีประโยชน์แล้ว ให้ส่งออกเฉพาะข้อมูลที่กฎหมายกำหนดให้เก็บ ปิดระบบออฟไลน์ และวางแผนปลดระวาง
4. เมื่อฮาร์ดแวร์เลิกใช้งาน ให้ใช้บริการทำลายข้อมูลเซิร์ฟเวอร์ เพื่อจัดการดิสก์ที่เก็บฐานข้อมูลเก่าเหล่านั้นอย่างถูกต้อง ส่งดิสก์ที่ถอดจากเว็บโฮสต์เก่าหรือ NAS ไปทำลายฮาร์ดดิสก์และ SSD และรวมการเปลี่ยนอุปกรณ์รอบใหญ่ไว้ในโครงการกำจัดสินทรัพย์ไอทีครั้งเดียว

สำหรับงานเซิร์ฟเวอร์ เรานัดรับเครื่องถึงสำนักงานของคุณในกรุงเทพฯ บันทึกหมายเลขซีเรียลตั้งแต่ตอนรับเครื่อง ดูแลห่วงโซ่การครอบครอง (chain of custody) ครบทุกขั้นตอนจนถึงการทำลาย และออกหนังสือรับรองการทำลายข้อมูลให้ทุกเครื่อง (ระบุหมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานบัญชีอุปกรณ์ฉบับเต็ม มีหลักฐานภาพถ่ายและวิดีโอการทำลายทางกายภาพให้ด้วย เรารับจัดการเฉพาะอุปกรณ์อิเล็กทรอนิกส์เท่านั้น ไม่รับทำลายเอกสารกระดาษ

ถ้า PHP2Shell ทำให้ทีมของคุณเจอเซิร์ฟเวอร์ที่ลืมไปแล้ว ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เราจะทำลายข้อมูลในเครื่องที่ปลดระวางให้หมดไปอย่างถาวร พร้อมหนังสือรับรองไว้แสดงเมื่อถูกตรวจสอบ

ที่มา: ThaiCERT, "แจ้งเตือน พบช่องโหว่ PHP2Shell เสี่ยงถูกควบคุมเซิร์ฟเวอร์จากภายนอก" (22 ต.ค. 2569); Bangkok Post, "Thailand races to protect data after PHP alert" (22 ต.ค. 2569); รัฐบาลไทย, สกมช. รับมือช่องโหว่ PHP2Shell (22 ต.ค. 2569); THAI DATA, มาตรการรับมือ PHP2Shell ของไทย (22 ต.ค. ปรับปรุง 25 ต.ค. 2569); ผู้จัดการออนไลน์, "สคส. เคลียร์ใจสื่อ" (21 ต.ค. 2569)