ประกาศเตือนด่วน: PHP ออกแพตช์ฉุกเฉินแก้ช่องโหว่ร้ายแรง 2 รายการ (PHP2Shell) และเริ่มพบความพยายามโจมตีแล้ว · ข้อมูล ณ 22 ต.ค. 2569 · ขอตรวจเว็บฟรี

สำหรับเจ้าของเว็บไซต์ที่ใช้ PHP และ WordPress

เว็บไซต์ที่ใช้ PHP มีช่องโหว่ร้ายแรง ต้องอัปเดตตอนนี้

ช่องโหว่ชื่อ PHP2Shell ทำให้คนแปลกหน้าสั่งงานเซิร์ฟเวอร์ของเว็บคุณได้โดยไม่ต้องรู้รหัสผ่าน กระทบ PHP แทบทุกรุ่น รวมถึงเว็บ WordPress และเว็บบริษัทส่วนใหญ่ในไทย ส่งชื่อเว็บมา เราเช็คให้ฟรีว่าเสี่ยงไหม แล้วแก้ให้เสร็จใน 24–48 ชั่วโมง

ขอตรวจเว็บฟรี ทักทาง LINE

ตรวจฟรี ไม่มีข้อผูกมัด
สำรองข้อมูลก่อนแก้ทุกครั้ง
ทดสอบเว็บหลังอัปเดต

ผลตรวจเว็บไซต์www.ตัวอย่างบริษัท.co.th

ต้องแก้ด่วน

รุ่น PHP
8.1.27
ไม่มีแพตช์แล้ว
วิธีรัน PHP
Apache + mod_php
เสี่ยงสูงสุด
สำรองข้อมูลล่าสุด
ไม่พบ
ควรทำก่อนแก้
HTTPS
เปิดใช้งาน
ปกติ

คำแนะนำ: สำรองข้อมูล แล้วย้ายเป็น PHP 8.3.36 ขึ้นไป พร้อมทดสอบฟอร์มและระบบหลังบ้าน

ตัวอย่างหน้าตารายงาน ไม่ใช่ข้อมูลของเว็บไซต์จริง

เกิดอะไรขึ้น

สรุปสั้น ๆ สำหรับคนที่ไม่ใช่สายไอที

PHP คือภาษาที่ใช้สร้างเว็บไซต์ส่วนใหญ่ในโลก เมื่อ 21 ต.ค. 2569 ทีม PHP ออกอัปเดตฉุกเฉินแก้ช่องโหว่ 2 รายการ และหน่วยงานความปลอดภัยไซเบอร์ของสหรัฐฯ (CISA) ประกาศให้รีบอัปเดตทันที

9.2 / 10

ระดับความรุนแรง "วิกฤต"

ทีม PHP ให้คะแนน 9.2 ส่วนบริษัทความปลอดภัยบางรายให้เต็ม 10 เพราะโจมตีได้โดยไม่ต้องล็อกอิน

PHP 5.4+

กระทบแทบทุกรุ่น

ตั้งแต่ PHP 5.4 ถึงรุ่นล่าสุด ทุกเว็บที่ใช้ PHP รับคำขอจากผู้เข้าชม ไม่ว่าจะเป็น WordPress หรือเว็บที่เขียนขึ้นเอง

เริ่มแล้ว

พบความพยายามโจมตี

ข้อมูลรั่วออกมาก่อนวันประกาศ 1 วัน และบริษัทความปลอดภัยเริ่มเห็นการพยายามโจมตีจริงหลังประกาศไม่นาน

เปรียบง่าย ๆ: เหมือนพบว่ากุญแจประตูยี่ห้อหนึ่งที่บ้านเกือบทุกหลังใช้ มีวิธีเปิดได้โดยไม่ต้องมีลูกกุญแจ และวิธีนั้นเริ่มรู้กันแล้ว ผู้ผลิตออกกุญแจใหม่ให้เปลี่ยนฟรี แต่ต้องมีคนไปเปลี่ยนให้ที่บ้านแต่ละหลัง

ถ้าไม่แก้

สิ่งที่อาจเกิดกับเว็บและธุรกิจของคุณ

ผู้โจมตีส่วนใหญ่ไม่ได้เลือกเป้าหมาย แต่ใช้โปรแกรมไล่หาเว็บที่ยังไม่อัปเดตทั้งอินเทอร์เน็ต เว็บเล็กหรือใหญ่จึงเสี่ยงเท่ากัน

ถูกฝังลิงก์เว็บพนัน

หน้าเว็บบริษัทขึ้นข้อความหรือลิงก์แปลก ๆ ใน Google ลูกค้าค้นชื่อบริษัทแล้วเจอผลค้นหาที่เสียภาพลักษณ์

ข้อมูลลูกค้ารั่ว

ข้อมูลจากฟอร์มติดต่อหรือฐานข้อมูลสมาชิกถูกดึงออกไป ซึ่งมีความรับผิดตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA)

Google ขึ้นเตือนว่าเว็บอันตราย

เบราว์เซอร์ขึ้นหน้าจอแดงเตือนก่อนเข้าเว็บ ลูกค้าไม่กล้ากดต่อ และใช้เวลาหลายวันกว่าจะเคลียร์ได้

อีเมลบริษัทเข้าถังสแปม

เซิร์ฟเวอร์ถูกใช้ส่งสแปมจำนวนมาก จนอีเมลจริงของบริษัทส่งไปหาลูกค้าไม่ถึง

เว็บช้าหรือล่ม

เซิร์ฟเวอร์ถูกแอบใช้ทรัพยากรไปขุดเหรียญหรือโจมตีเว็บอื่น เว็บของคุณช้าลงหรือหยุดทำงาน

ค่าแก้ไขสูงกว่าป้องกันหลายเท่า

เมื่อถูกเจาะแล้ว ต้องล้างไฟล์ ตรวจหาประตูหลัง และกู้ข้อมูล ซึ่งใช้เวลาและค่าใช้จ่ายมากกว่าการอัปเดตก่อน

เว็บคุณเข้าข่ายไหม

ดูรุ่น PHP แล้วเทียบกับตารางนี้

ถ้ารุ่นที่ใช้ต่ำกว่าเลขในช่อง "ต้องเป็นอย่างน้อย" แปลว่ายังมีช่องโหว่ ส่วน PHP 8.1 หรือเก่ากว่า ทีม PHP ไม่ออกแพตช์ให้แล้ว ต้องย้ายไปรุ่นใหม่เท่านั้น

รุ่นที่ใช้อยู่ต้องเป็นอย่างน้อยสิ่งที่ต้องทำ

PHP 8.5.x8.5.12อัปเดตภายในรุ่นเดิม ใช้เวลาไม่นาน

PHP 8.4.x8.4.27อัปเดตภายในรุ่นเดิม ใช้เวลาไม่นาน

PHP 8.3.x8.3.36อัปเดตภายในรุ่นเดิม ใช้เวลาไม่นาน

PHP 8.2.x8.2.35อัปเดตภายในรุ่นเดิม ใช้เวลาไม่นาน

PHP 8.1 หรือเก่ากว่าไม่มีแพตช์ต้องย้ายเป็น PHP 8.3 ขึ้นไป อาจต้องแก้โค้ด

ข้อมูล ณ 22 ต.ค. 2569 ตามประกาศของทีม PHP · ความเสี่ยงสูงสุดคือเซิร์ฟเวอร์ที่ใช้ Apache ร่วมกับ mod_php

ดูรุ่น PHP เองได้อย่างไร

เว็บ WordPress: เข้าหลังบ้าน ไปที่ เครื่องมือ → สุขภาพเว็บไซต์ → ข้อมูล → เซิร์ฟเวอร์ จะเห็นรุ่น PHP
มีแผงควบคุมโฮสติ้ง เช่น cPanel, Plesk, aaPanel: ดูที่เมนู PHP Version หรือ Select PHP Version
ไม่แน่ใจ หรือไม่มีสิทธิ์เข้า: ถามผู้ดูแลเว็บหรือผู้ให้บริการโฮสติ้งว่า "เว็บเราใช้ PHP รุ่นไหน อัปเดตแพตช์ PHP2Shell แล้วหรือยัง"

ไม่อยากเช็คเอง? ส่งชื่อเว็บมา เราตรวจให้ฟรี แจ้งผลภายใน 1 วันทำการ

บริการและราคา

เริ่มจากตรวจฟรี แล้วเลือกเฉพาะที่จำเป็น

เราบอกตรง ๆ หลังตรวจว่าเว็บคุณต้องทำแค่ไหน ถ้าผู้ให้บริการโฮสติ้งอัปเดตให้แล้ว เราจะแจ้งว่าไม่ต้องจ่ายเพิ่ม

ขั้นแรก

ตรวจความเสี่ยง

ฟรี

ทุกเว็บที่ใช้ PHP หรือ WordPress

เช็ครุ่น PHP และวิธีรันบนเซิร์ฟเวอร์
บอกว่าเสี่ยงหรือไม่ และต้องทำอะไร
แจ้งผลภายใน 1 วันทำการ

ขอตรวจฟรี

แก้ด่วน

PHP 8.2 ขึ้นไป

แพตช์ด่วน

3,900 บาท / เว็บ ขึ้นไป

เว็บที่อัปเดตภายในรุ่นเดิมได้

สำรองไฟล์และฐานข้อมูลก่อนแก้
อัปเดต PHP เป็นรุ่นที่แก้แล้ว
ทดสอบหน้าหลัก ฟอร์ม และหลังบ้าน
เสร็จใน 24–48 ชม. พร้อมรายงานก่อน-หลัง

แก้เว็บของฉัน

PHP 8.1 หรือเก่ากว่า

ย้ายรุ่น PHP

25,000 บาท ขึ้นไป

เว็บเก่าที่ไม่มีแพตช์ให้แล้ว ราคาตามขนาดโค้ด

ตรวจโค้ดฟรี ก่อนเสนอราคา
แก้โค้ดและอัปเดต framework ให้รันบน PHP 8.3 ขึ้นไป
ทดสอบทุกหน้า ฟอร์ม และหลังบ้าน บนเครื่องแยกก่อนขึ้นจริง
มีแผนย้อนกลับ และดูแลหลังย้าย

WordPress ที่อัปธีมและปลั๊กอินได้: 25,000+
เว็บเขียนเอง PHP 7.x มีหลังบ้าน: 45,000–90,000
PHP 5.x, CodeIgniter 2, ระบบสมาชิก/ชำระเงิน: 90,000+

ขอประเมินราคา

ไม่ต้องตามข่าวเอง

Security Care

1,500 บาท / เดือน ขึ้นไป

ให้เราดูแลต่อหลังแก้เสร็จ

อัปเดตช่องโหว่ใหม่ภายใน 7 วัน
สำรองข้อมูลทุกสัปดาห์
แจ้งเตือนเว็บล่ม SSL และโดเมนหมดอายุ

ต้องการอัปเดตภายใน 48 ชม. และสำรองข้อมูลทุกวัน ดูแพ็กเกจ Business 3,900 บาท/เดือน

ดูแพ็กเกจดูแลทั้งหมด

ราคายังไม่รวม VAT 7% · ราคาจริงขึ้นกับจำนวนเว็บ ขนาดโค้ด และประเภทโฮสติ้ง เราตรวจโค้ดฟรีแล้วเสนอราคาตายตัวก่อนเริ่มงาน · เว็บที่ต้องย้ายรุ่นขนาดใหญ่ เราเสนอราคาทำเว็บใหม่เทียบให้ด้วย · เว็บที่ถูกเจาะไปแล้วต้องตรวจล้างระบบเพิ่ม ประเมินราคาแยก

ขั้นตอน

แก้อย่างปลอดภัย ไม่ให้เว็บพังระหว่างทาง

ส่งชื่อเว็บมา

กรอกฟอร์มหรือทัก LINE บอกชื่อเว็บและโฮสติ้งที่ใช้

2 นาที

ตรวจและแจ้งผล

บอกว่าเสี่ยงไหม ต้องทำอะไร และราคาเท่าไร ก่อนเริ่มงาน

ภายใน 1 วันทำการ

สำรองข้อมูล

เก็บไฟล์และฐานข้อมูลทั้งหมดไว้ก่อน ถ้ามีปัญหาย้อนกลับได้ทันที

ก่อนแตะเว็บทุกครั้ง

อัปเดตและทดสอบ

อัปเดต PHP แล้วทดสอบหน้าเว็บ ฟอร์ม และระบบหลังบ้านทีละส่วน

24–48 ชม.

ส่งรายงาน

สรุปรุ่น PHP ก่อนและหลัง สิ่งที่ทำ และคำแนะนำต่อจากนี้

วันที่แก้เสร็จ

คำถามที่พบบ่อย

เรื่องที่เจ้าของเว็บถามบ่อย

ควรแก้ ช่องโหว่นี้ไม่ได้เล็งข้อมูลในเว็บอย่างเดียว ผู้โจมตีใช้เซิร์ฟเวอร์ที่เจาะได้ไปฝังลิงก์เว็บพนัน ส่งอีเมลสแปม หรือโจมตีเว็บอื่นต่อ ผลคือ Google ขึ้นเตือนว่าเว็บอันตราย อีเมลบริษัทเข้าถังสแปม และชื่อเสียงเสียหาย ซึ่งแก้ยากกว่าป้องกันมาก

ถ้าอัปเดตภายในรุ่นเดิม เช่น 8.3.x เป็น 8.3.36 มักไม่กระทบโค้ด แต่เราจะสำรองไฟล์และฐานข้อมูลก่อนทุกครั้ง แล้วทดสอบหน้าหลัก ฟอร์ม และระบบหลังบ้านหลังอัปเดต ถ้ามีปัญหาย้อนกลับได้ทันที ส่วนเว็บที่ใช้ PHP 8.1 หรือเก่ากว่าต้องย้ายรุ่น ซึ่งต้องแก้โค้ดและอัปเดต framework เราตรวจโค้ดให้ฟรีก่อน แล้วแจ้งขอบเขตและราคาตายตัวก่อนเริ่มงาน

ได้ ถ้ามีสิทธิ์เข้าแผงควบคุม เช่น cPanel, Plesk, aaPanel หรือ SSH เราอัปเดตให้ได้เลย ถ้าเป็นโฮสติ้งแบบแชร์ที่เปลี่ยนรุ่น PHP เองไม่ได้ เราช่วยประสานผู้ให้บริการ หรือย้ายเว็บไปเซิร์ฟเวอร์ที่ดูแลได้

ช่วยลดความเสี่ยงได้บางส่วน แต่ไม่แทนการอัปเดต PHP เพราะช่องโหว่อยู่ในตัว PHP บนเซิร์ฟเวอร์ ทางที่ปลอดภัยคืออัปเดตให้เป็นรุ่นที่แก้แล้ว แล้วใช้ไฟร์วอลล์เป็นชั้นป้องกันเพิ่ม

ช่องโหว่ใหม่ของ PHP, WordPress และปลั๊กอินออกมาแทบทุกเดือน ส่วนใหญ่ถูกโจมตีภายในไม่กี่วันหลังประกาศ แพ็กเกจดูแลรายเดือนทำให้เว็บได้รับการอัปเดตตามรอบที่ตกลงไว้ทุกครั้ง (เร็วสุดภายใน 24 ชม.) พร้อมสำรองข้อมูล โดยคุณไม่ต้องคอยตามข่าวเอง

แหล่งข้อมูล: ประกาศของ CISA (21 ต.ค. 2569) · php.net · ช่องโหว่ CVE-2026-109618 และ CVE-2026-109619

ตรวจฟรี แจ้งผลภายใน 1 วันทำการ