แจ้งเตือน PHP2Shell: แพตช์เซิร์ฟเวอร์ที่คุณใช้ ปลดระวางเครื่องที่คุณลืม

อ่านภาษาไทย

การแจ้งเตือนทั่วประเทศเกี่ยวกับภาษาเบื้องหลังเว็บไซต์ส่วนใหญ่

On 22 October 2026, Thailand's cyber agencies moved quickly on two critical flaws in PHP, the programming language that runs a large share of the world's websites. ThaiCERT, the response team under the National Cyber Security Agency (NCSA / สกมช.), warned that the bugs, tracked as CVE-2026-109618 and CVE-2026-109619 and nicknamed "PHP2Shell", can let an attacker with no account send crafted requests that run commands on a web server and take control of it from outside. Both carry a CVSS v4.0 score of 9.2, and ThaiCERT noted that proof-of-concept code is already public, according to its advisory .

The same day, Deputy Prime Minister and Higher Education Minister Yodchanan Wongsawat told universities and medical school hospitals to check every PHP system, starting with patient records and student databases, while the Personal Data Protection Committee office (PDPC) urged website administrators to patch, review their logs and follow breach procedures if anything looked wrong, as reported by the Bangkok Post . The Bangkok Post also noted that the flaws were found by OpenAI researchers in August and kept quiet until fixes were ready, and that the official statements were preventive: no confirmed Thai data breach had been linked to PHP2Shell at the time.

The fixed versions are PHP 8.2.35, 8.3.36, 8.4.27 and 8.5.12 or newer. PHP 8.1 and older are out of support and get no fix from the PHP project itself, so ThaiCERT advises moving them to a supported version or getting patches from a Linux distribution or extended-support provider. A day later, ThaiCERT flagged a further PHP session flaw, CVE-2026-115560, still without a patch, and repeated its advice to switch off session upload progress in the meantime, as summarised by Thai Data .

ข้อความในประกาศที่บริษัทส่วนใหญ่จะข้ามไป

ThaiCERT ขอให้องค์กรต่างๆ ตรวจสอบเวอร์ชัน PHP บนทุกระบบที่ตนเป็นเจ้าของ: เว็บเซิร์ฟเวอร์, แอพพลิเคชันเซิร์ฟเวอร์, คอนเทนเนอร์, โฮสติ้งคอนโทรลพาเนล, ผลิตภัณฑ์สำเร็จรูปที่มี PHP ภายใน และระบบสำรองข้อมูล สำหรับเครื่องที่ไม่สามารถแพตช์หรือป้องกันด้วยการตั้งค่าชั่วคราวได้ ขอแนะนำให้ตัดการเชื่อมต่อจากอินเทอร์เน็ตหรือจำกัดการเข้าถึงเฉพาะไอพีแอดเดรสที่ได้รับอนุมัติ

นั่นเป็นเรื่องง่ายสำหรับเว็บไซต์ที่ทีมการตลาดของคุณอัปเดตทุกสัปดาห์ แต่มันยากกว่ามากสำหรับระบบที่ไม่มีใครจำได้: ไมโครไซต์แคมเปญปี 2019 ที่ยังรันอยู่บนเซิร์ฟเวอร์สำรอง, อินทราเน็ตเก่าหรือพอร์ทัล HR บน PHP 7, สำเนาสเตจจิงของร้านค้าอีคอมเมิร์ซที่มีฐานข้อมูลลูกค้าจริง, หรือเครื่องสำรองข้อมูลที่ยังตอบสนองบนพอร์ต 80 สิ่งเหล่านี้คือเครื่องที่มีแนวโน้มมากที่สุดที่จะใช้ PHP เวอร์ชันที่หมดอายุการใช้งาน (End-of-Life) และเป็นเครื่องที่เก็บแบบฟอร์ม การเข้าสู่ระบบ และบันทึกข้อมูลลูกค้ามาหลายปี

สิ่งนี้หมายความว่าอย่างไรสำหรับบริษัทของคุณ

• Every forgotten server is now an open question. If you cannot say which PHP version a machine runs, who owns it and what data it holds, you cannot patch it with confidence, and you cannot prove it was not touched.
• Some systems should be retired, not patched. If a site or portal has no business owner and no reason to exist, the cheapest fix for PHP2Shell is to decommission it. Migrating an abandoned PHP 7 application just to keep it alive rarely makes sense.
• Switching it off is not the same as deleting the data. A powered-down server in a storeroom still carries its databases, upload folders and backups on its drives. Under the PDPA data destruction requirements , that personal data remains your responsibility until its destruction is documented.
• The regulator is watching breaches closely. On 21 October the PDPC told journalists it had received 1,650 personal data breach notifications from 2023 to 31 May 2026, with the finance, investment and insurance sector reporting the most, according to MGR Online .

แผนการจัดการทำความสะอาด PHP2Shell เชิงปฏิบัติ

1. ทำรายการตรวจสอบเครื่องและคอนเทนเนอร์ทั้งหมดที่ให้บริการ PHP รวมถึงเว็บไซต์ที่จ้างภายนอก, สำเนาทดสอบ และเซิร์ฟเวอร์สำรอง พร้อมทั้งบันทึกเวอร์ชัน, ผู้ รับผิดชอบ และข้อมูลส่วนบุคคลที่แต่ละเครื่องเก็บรักษาไว้
2. แพตช์ระบบที่คุณยังคงต้องใช้ โดยเริ่มจากระบบที่เชื่อมต่อกับอินเทอร์เน็ตและระบบที่เก็บข้อมูลลูกค้า ผู้ป่วย หรือนักศึกษา จากนั้นรีสตาร์ท PHP worker ตามคำแนะนำของ ThaiCERT
3. สำหรับระบบที่ไม่มีเจ้าของหรือวัตถุประสงค์การใช้งาน ให้ส่งออกข้อมูลที่คุณจำเป็นต้องเก็บรักษาตามกฎหมาย นำระบบออฟไลน์ และวางแผนปลดระวาง
4. When the hardware leaves service, book server data destruction so the drives behind those old databases are dealt with properly, send loose disks from old web hosts and NAS boxes for hard drive and SSD destruction , and fold a wider refresh into one IT asset disposal project.

สำหรับงานเซิร์ฟเวอร์ที่เราสามารถรับได้จากสำนักงานของคุณในกรุงเทพฯ เราจะบันทึกหมายเลขซีเรียล ณ จุดรับ รักษาห่วงโซ่การส่งมอบ (Chain of Custody) ตลอดกระบวนการทำลาย และออกใบรับรองการทำลายข้อมูล (Certificate of Data Destruction) สำหรับเซิร์ฟเวอร์แต่ละเครื่อง (ระบุหมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานรายการทรัพย์สินอย่างละเอียด มีบริการหลักฐานภาพถ่ายและวิดีโอของการทำลายทางกายภาพ เราให้บริการเฉพาะอุปกรณ์เท่านั้น เราไม่ทำลายเอกสารกระดาษ

If PHP2Shell has turned up servers your team had forgotten about, get an instant quote or call 082-797-3702, and we will make sure the data on those retired machines is destroyed for good, with the certificates to show for it.

Sources: ThaiCERT, PHP2Shell advisory (22 Oct 2026) ; Bangkok Post, "Thailand races to protect data after PHP alert" (22 Oct 2026) ; Royal Thai Government, NCSA response to PHP2Shell (22 Oct 2026) ; Thai Data, PHP2Shell measures in Thailand (22 Oct, updated 25 Oct 2026) ; MGR Online, PDPC media briefing (21 Oct 2026) .