PHP2Shell คืออะไร? วิธีตรวจและแก้ช่องโหว่ CVE-2026-109618 / CVE-2026-109619

01PHP2Shell คืออะไร

PHP2Shell ไม่ใช่ช่องโหว่ของ WordPress หรือปลั๊กอินตัวใดตัวหนึ่ง แต่เป็นช่องโหว่ใน ตัว PHP เอง ซึ่งเป็นภาษาที่เว็บไซต์ราว 69% ของโลกใช้อยู่ ผู้โจมตีส่งคำขอ (HTTP request) ที่สร้างขึ้นมาเป็นพิเศษไปยังเว็บ แล้วสั่งรันโค้ดบนเซิร์ฟเวอร์ได้ด้วยสิทธิ์ของโปรเซสที่รันเว็บ โดยไม่ต้องมีบัญชีหรือรหัสผ่าน

ทั้งสองช่องโหว่มีต้นเหตุคล้ายกัน คือ PHP ปล่อยให้หน่วยความจำอยู่ในสภาพเสียหายเมื่อคำขอจบลงผิดปกติ แล้วคำขอถัดไปที่รันบน worker ตัวเดียวกันนำข้อมูลเสียนั้นไปใช้ต่อ

02ไทม์ไลน์

1. ส.ค. 2569

   Calif และ Wiz พบช่องโหว่แยกกัน และแจ้งทีม PHP

2. 17 ต.ค. 2569

   Amazon Threat Intelligence พบความพยายามโจมตีใน honeypot (MadPot) ก่อนประกาศ 4 วัน

3. 20 ต.ค. 2569

   ทีม PHP แจ้งล่วงหน้าให้ผู้ดูแลระบบเตรียมอัปเดตฉุกเฉิน และมีรายละเอียดบางส่วนรั่วออกมาก่อนกำหนด

4. 21 ต.ค. 2569 · 21:00 น. (14:00 UTC)

   ทีม PHP ออก 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 พร้อมแพตช์ระดับซอร์สสำหรับ 7.4, 8.0 และ 8.1 · CISA ออกประกาศให้อัปเดตทันที · Cloudflare เปิด WAF rules ชั่วคราวให้ทุกแพ็กเกจ · watchTowr รายงานว่าพบการโจมตีใน honeypot

5. 22 ต.ค. 2569

   ผู้ผลิตอุปกรณ์ที่ฝัง PHP ไว้ภายในเริ่มประกาศผลกระทบ เช่น Palo Alto Networks ยืนยันว่า PAN-OS ได้รับผลกระทบ

03ใครได้รับผลกระทบ

ทีม PHP ระบุว่า ทุกการติดตั้ง PHP ที่ให้บริการหน้าเว็บ ได้รับผลกระทบ ไม่ว่าจะใช้วิธีรันแบบใด แต่ระดับความเสี่ยงต่างกัน

เส้นทางโจมตีหลักที่ JFrog วิเคราะห์ไว้ต้องอาศัยการตั้งค่า session.upload_progress.enabled=On ซึ่งเป็น ค่าเริ่มต้นของ PHP เว็บส่วนใหญ่จึงเข้าข่ายโดยไม่รู้ตัว

04รุ่นที่แก้แล้ว

05วิธีเช็คว่าเซิร์ฟเวอร์เสี่ยงไหม

1. ดูรุ่น PHP

php -v

คำสั่งนี้แสดงรุ่นของ PHP แบบ CLI ซึ่งอาจต่างจากรุ่นที่เว็บใช้จริง ถ้าเซิร์ฟเวอร์มีหลายรุ่น ให้ดูจากหน้า phpinfo ของเว็บ หรือใน WordPress ไปที่ เครื่องมือ → สุขภาพเว็บไซต์ → ข้อมูล → เซิร์ฟเวอร์

2. เช็คเลขแพ็กเกจ (ถ้าใช้ PHP จาก distro)

dpkg -l | grep -E '^ii\s+php[0-9.]*-(common|fpm|cli)'

rpm -q php-common
dnf module list php   # สายรุ่นที่เปิดใช้อยู่จะมีเครื่องหมาย [e]

นำเลขที่ได้ไปเทียบกับประกาศความปลอดภัยของ distro นั้น เช่น Ubuntu Security Notices, Debian Security Tracker หรือบล็อกของ AlmaLinux

3. ดูว่าใช้ mod_php หรือไม่

apache2ctl -M 2>/dev/null | grep -E 'mpm_|php'

httpd -M 2>/dev/null | grep -E 'mpm_|php'

ถ้าผลลัพธ์มี php_module หรือ php7_module แปลว่าใช้ mod_php ซึ่งเสี่ยงที่สุด ควรอัปเดตเป็นลำดับแรก

4. ดูค่า session.upload_progress

php -i | grep session.upload_progress.enabled

ค่าจาก CLI อาจต่างจาก PHP-FPM ให้ดูไฟล์ตั้งค่าของ FPM ด้วย (เช่น /etc/php/8.3/fpm/php.ini หรือไฟล์ pool)

06วิธีอัปเดตแต่ละระบบ

Ubuntu / Debian

sudo apt update
sudo apt upgrade
# รีสตาร์ตตามที่ใช้ (เปลี่ยน 8.3 เป็นรุ่นของคุณ)
sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2

ถ้าติดตั้ง PHP จาก repository ภายนอก เช่น PPA ของผู้ดูแลอิสระ ให้เช็คว่า repository นั้นออกแพตช์แล้วหรือยัง ถ้ายังไม่มี ให้พิจารณาเปลี่ยนไปใช้แพ็กเกจของ distro

AlmaLinux / Rocky / RHEL

sudo dnf clean metadata && sudo dnf upgrade 'php*'
sudo systemctl restart php-fpm
# ถ้าใช้ mod_php (AlmaLinux 8) ให้รีสตาร์ต Apache แทน
sudo systemctl restart httpd
rpm -q php-common   # ยืนยันเลขแพ็กเกจที่แก้แล้ว

AlmaLinux ออกแพ็กเกจแก้ไขให้ทุกสายรุ่นที่เคยออก รวมถึงสายที่หมดอายุแล้ว เช่น php:7.4 และ php:8.1 แต่ไม่รับประกันการแก้ไขครั้งต่อไปของสายที่หมดอายุ

cPanel, Plesk, aaPanel และแผงควบคุมอื่น

PHP ที่ติดตั้งผ่านแผงควบคุม (เช่น EasyApache ของ cPanel) ได้รับแพตช์จากผู้ผลิตแผงควบคุม ไม่ใช่จาก distro ให้อัปเดตผ่านแผงควบคุม แล้วเช็ครุ่นของทุก PHP ที่เปิดใช้งาน ถ้าเป็นโฮสติ้งแบบแชร์ ให้สอบถามผู้ให้บริการว่าอัปเดตแพตช์ PHP2Shell แล้วหรือยัง

Docker และ Kubernetes

# สร้าง image ใหม่โดยดึง base image ล่าสุด แล้วยืนยันรุ่น
docker build --pull -t my-app:patched .
docker run --rm my-app:patched php -v

การรีสตาร์ต container เดิมไม่ได้อัปเดต PHP ต้องสร้าง image ใหม่จาก base image ที่แก้แล้ว และ deploy ใหม่ทุกตัว

PHP รุ่นเก่า (8.1 ลงไป)

ถ้ายังย้ายรุ่นไม่ได้ทันที ควรทำครบชุดนี้

1. 7.4–8.1: ใช้แพตช์จากสาขาด้านบน หรือแพ็กเกจที่ distro / ผู้ให้บริการ LTS แก้ให้ ข้อนี้สำคัญที่สุด
2. 5.x: ไม่มีแพตช์ให้ใช้ ข้ามไปข้อ 3–5 และเร่งแผนย้ายรุ่น
3. ตั้งมาตรการชั่วคราวทุกข้อ ในหัวข้อถัดไป ได้แก่ session.upload_progress.enabled=0, memory_limit=-1 แบบบังคับ, post_max_size ต่ำ และบล็อกคำขอ multipart ที่ frontend ถ้าเว็บไม่มีฟอร์มอัปโหลด แล้วรีสตาร์ตทุก worker
4. เปิด WAF เช่น Cloudflare ซึ่งมี rules สำหรับ PHP2Shell ทุกแพ็กเกจ
5. จำกัดการเข้าถึง ถ้าเป็นระบบภายใน ให้เปิดเฉพาะ IP หรือ VPN ขององค์กร ถ้าทำไม่ได้ CISA และ NCSC ของอังกฤษแนะนำให้ ปิดระบบไว้ก่อน
6. วางแผนย้ายไป PHP 8.3 ขึ้นไป ซึ่งมักต้องแก้โค้ดที่ใช้ฟังก์ชันที่ถูกตัดออก เช่น mysql_*, each() และ create_function()

07มาตรการชั่วคราว ระหว่างรออัปเดต

ทีม PHP ยืนยันว่า ไม่มีมาตรการใดกันได้ครบ การอัปเดตคือทางเดียวที่ถาวร มาตรการด้านล่างใช้เพื่อลดความเสี่ยงในช่วงสั้น ๆ เท่านั้น

08เช็คว่าถูกเจาะไปแล้วหรือยัง

มีรายงานความพยายามโจมตีตั้งแต่ก่อนแพตช์ออก การอัปเดตจึงไม่พอ ต้องเช็คด้วยว่ามีใครเข้ามาก่อนแล้วหรือไม่ เพราะ แพตช์ไม่ได้ลบ backdoor ที่ถูกฝังไว้แล้ว สิ่งที่ควรดู:

• โปรเซสของ PHP เปิด shell หรือดาวน์โหลดเครื่องมือ เช่น php-fpm หรือ apache เป็นตัวเริ่ม sh, bash, curl, wget (CISA ระบุสัญญาณนี้ไว้)
• ไฟล์ PHP ใหม่ที่ไม่ได้สร้างเอง โดยเฉพาะในโฟลเดอร์อัปโหลด หรือไฟล์ที่ชื่อดูไม่เกี่ยวกับเว็บ
• cron job ของผู้ใช้ที่รันเว็บ (เช่น www-data, apache, nginx) ที่ไม่ได้ตั้งไว้
• การเชื่อมต่อออกไปภายนอกที่ผิดปกติ หรือ CPU สูงผิดปกติ

# ไฟล์ .php ที่ถูกแก้ไขใน 7 วันที่ผ่านมา (เปลี่ยน /var/www เป็นโฟลเดอร์เว็บของคุณ)
find /var/www -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM  %p\n' | sort

# cron ของผู้ใช้ที่รันเว็บ
sudo crontab -u www-data -l

# โปรเซสลูกของ php-fpm / apache
ps -eo pid,ppid,user,cmd --forest | grep -E -A3 'php-fpm|apache2|httpd' | grep -E 'sh |bash|curl|wget'

09คำถามที่พบบ่อย

10แหล่งอ้างอิง

1. CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21 ต.ค. 2569)
2. PHP Security Advisory GHSA-w8hw-w9fx-j79w (CVE-2026-109618): RCE via OOM corruption
3. PHP Security Advisory GHSA-6wmf-4rv5-p3rp (CVE-2026-109619): RCE via stale global state
4. php-src: สาขาแพตช์ชั่วคราวสำหรับรุ่นหมดอายุ PHP-7.4 / 8.0 / 8.1-CVE-2026-109618-109619
5. PHP: เว็บไซต์ทางการและประกาศรุ่นใหม่
6. JFrog Security Research: PHP2Shell — All You Need to Know
7. BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws
8. Help Net Security: PHP2Shell — Critical PHP vulnerabilities patched
9. AlmaLinux: Patched PHP packages released
10. Wikipedia: PHP2Shell

ข้อมูลในคู่มือนี้รวบรวมจากประกาศของ PHP, CISA, ผู้ผลิต distro และบริษัทความปลอดภัย ณ 22 ต.ค. 2569 เวลา 18:45 น. สถานการณ์อาจเปลี่ยนแปลง โปรดตรวจประกาศล่าสุดของผู้ผลิตซอฟต์แวร์ที่คุณใช้ก่อนดำเนินการ คู่มือนี้ไม่มีรายละเอียดวิธีโจมตี