PHP พบช่องโหว่ร้ายแรง "PHP2Shell": เว็บไหนได้รับผลกระทบ และทำไมเว็บของ C Building ไม่โดน

ถ้าเว็บของคุณทำด้วย WordPress ช่วงนี้คุณอาจได้รับแจ้งเตือนจากผู้ให้บริการโฮสติ้ง หรือเห็นข่าว "PHP พบช่องโหว่ร้ายแรง" บทความนี้จะอธิบายแบบเข้าใจง่ายว่าเกิดอะไรขึ้น กระทบเจ้าของเว็บยังไง เว็บแบบไหนต้องระวัง และทำไมเว็บของ C Building ไม่ได้รับผลกระทบครั้งนี้

เกิดอะไรขึ้น?

PHP เป็นภาษาโปรแกรมที่ใช้ทำเว็บไซต์ WordPress, Drupal, Joomla, Magento รวมถึงเว็บจำนวนมากที่บริษัทรับทำเว็บทำให้ลูกค้า ล้วนทำงานด้วย PHP ทุกครั้งที่มีคนเปิดหน้าเว็บ PHP บนเซิร์ฟเวอร์จะทำงานหนึ่งรอบเพื่อสร้างหน้าเว็บนั้นขึ้นมา

วันที่ 21 ตุลาคม 2026 PHP ออกแพตช์แก้ช่องโหว่ร้ายแรงสองตัว คือ CVE-2026-109618 และ CVE-2026-109619 ซึ่งวงการความปลอดภัยเรียกว่า PHP2Shell

พูดง่าย ๆ คือ ผู้โจมตีไม่ต้องรู้ชื่อผู้ใช้หรือรหัสผ่านเว็บของคุณ แค่ส่งคำขอที่ประดิษฐ์มาเป็นพิเศษไปที่เว็บ ก็อาจรันโปรแกรมของตัวเองบนเซิร์ฟเวอร์ของคุณได้ เหมือนมีคนเดินเข้าประตูหน้าร้านคุณได้โดยไม่ต้องใช้กุญแจ

ช่องโหว่นี้ร้ายแรงแค่ไหน?

• คะแนนความร้ายแรง 9.2 (เต็ม 10): อยู่ในระดับ "วิกฤต"
• ไม่เกี่ยวกับว่าคุณลงปลั๊กอินอะไรไว้: ปัญหาอยู่ที่ตัว PHP เอง บริษัทความปลอดภัย Patchstack ชี้ว่า ต่อให้เป็นหน้าเว็บที่มีแค่บรรทัดเดียวว่า "Hello World" ถ้าเวอร์ชัน PHP มีช่องโหว่ ก็โดนโจมตีได้
• กระทบกว้างมาก: PHP ตั้งแต่เวอร์ชัน 5.4 ขึ้นไปแทบทุกเวอร์ชันได้รับผลกระทบ ตอนที่ Palo Alto Networks เผยแพร่บทวิเคราะห์ พบเซิร์ฟเวอร์บนอินเทอร์เน็ตที่อาจได้รับผลกระทบมากกว่า 22.6 ล้านเครื่อง
• มีคนเอาไปใช้โจมตีแล้ว: หน่วยงานความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ (CISA) เพิ่มช่องโหว่ทั้งสองตัวเข้าไปในรายชื่อ "ช่องโหว่ที่ทราบว่าถูกใช้โจมตีแล้ว" เมื่อวันที่ 26 ตุลาคม และแนะนำให้ปิดระบบที่ยังอัปเดตทันทีไม่ได้ไว้ก่อน

ผลกระทบจริงต่อเจ้าของเว็บ

ถ้าผู้โจมตีรันโปรแกรมบนเซิร์ฟเวอร์ได้แล้ว สิ่งที่มักเกิดตามมาคือ:

• เว็บถูกฝัง "ประตูหลัง" ไว้ ให้เข้ามาใหม่ได้ตลอดเวลา
• เว็บถูกแก้ให้พาคนไปเว็บหลอกลวงหรือเว็บพนัน
• ข้อมูลลูกค้าและสมาชิกที่ได้จากฟอร์มรั่วไหล
• เซิร์ฟเวอร์ถูกเอาไปส่งสแปมหรือขุดคริปโต จนผู้ให้บริการโฮสติ้งระงับบัญชีของคุณ
• Google ติดป้ายเว็บคุณว่าเป็น "เว็บอันตราย" ทั้งอันดับการค้นหาและความเชื่อใจของลูกค้าเสียหายไปพร้อมกัน

ที่น่าปวดหัวที่สุดคือ เว็บที่โดนเจาะอาจดูปกติทุกอย่าง กว่าจะรู้ตัวก็ผ่านไปหลายสัปดาห์แล้ว

เว็บแบบไหนต้องระวัง?

เว็บไหนก็ตามที่รัน PHP บนเซิร์ฟเวอร์ ต้องเช็กว่า PHP อัปเดตแล้ว ที่เจอบ่อยได้แก่:

มีสองกรณีที่ต้องระวังเป็นพิเศษ:

• PHP 8.1 หรือเก่ากว่านั้น: เวอร์ชันที่ PHP ออกแพตช์แก้แล้วคือ 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 เวอร์ชันก่อน 8.1 ไม่ได้รับการสนับสนุนอย่างเป็นทางการแล้ว และ CISA แนะนำให้ปิดระบบแบบนี้ไว้ก่อนจนกว่าจะอัปเดต ถ้าโฮสติ้งของคุณยังใช้เวอร์ชันเก่าอยู่ ก็ถึงเวลาอัปเกรดแล้ว
• ตัว WordPress เองก็มีช่องโหว่: ในเดือนเดียวกัน แกนหลักของ WordPress มีช่องโหว่อีกตัว (CVE-2026-87902) ที่ในบางเงื่อนไขก็อาจทำให้ผู้โจมตีรันโปรแกรมได้ และมีคนเอาไปใช้แล้ว ต้องอัปเดต WordPress เป็นเวอร์ชัน 7.1.2 ขึ้นไป

ถ้าเว็บของคุณใช้ PHP สิ่งที่ทำได้ตอนนี้

1. ถามผู้ให้บริการโฮสติ้งหรือนักพัฒนา: "PHP ของเราอัปเดตเป็นเวอร์ชันที่แก้แล้วหรือยัง?" และขอเลขเวอร์ชันที่ชัดเจน
2. อัปเดต WordPress เป็น 7.1.2 ขึ้นไป พร้อมอัปเดตปลั๊กอินและธีมด้วย
3. ยังใช้ PHP 8.1 หรือเก่ากว่าอยู่: เช็กกับผู้ให้บริการโฮสติ้งว่าแก้แล้วหรือยัง ถ้ายัง ให้วางแผนอัปเกรด
4. เช็กว่าเว็บมีอะไรผิดปกติไหม: มีบัญชีแอดมินที่ไม่รู้จักโผล่มา หน้าแรกถูกแก้ หรือ Google ขึ้นคำเตือนเว็บอันตราย
5. เปลี่ยนรหัสผ่านสำคัญ: ถ้าสงสัยว่าเคยโดนเจาะ ให้เปลี่ยนรหัสผ่านหลังบ้านเว็บ โฮสติ้ง และฐานข้อมูลให้หมด
6. อย่าลง "ปลั๊กอินแก้ช่องโหว่" ที่ไม่รู้ที่มา: วิธีแก้ที่ครบจริงมีทางเดียวคืออัปเดต PHP การปรับตั้งค่าที่แชร์กันบนอินเทอร์เน็ตแค่ช่วยลดความเสี่ยงเท่านั้น

ทำไมเว็บของ C Building ไม่ได้รับผลกระทบครั้งนี้?

1. เว็บที่เผยแพร่ออกไป คือหน้าเว็บที่ทำเสร็จไว้ล่วงหน้า

เมื่อคุณกด "เผยแพร่" ใน C Building แพลตฟอร์มจะทำทุกหน้าให้เป็นไฟล์หน้าเว็บที่สมบูรณ์ไว้ก่อน เวลาที่คนเปิดเว็บของคุณ เซิร์ฟเวอร์แค่ส่งไฟล์ที่ทำเสร็จแล้วออกไป ไม่ได้รัน PHP และไม่ได้รันโปรแกรมของเว็บเองเลย ต่อให้ผู้โจมตีส่งคำขอพิเศษมาเท่าไหร่ ก็ไม่มีโปรแกรมให้เจาะ

อยากรู้ว่าตอนเผยแพร่แพลตฟอร์มทำอะไรบ้าง อ่านได้ที่ กด "เผยแพร่" แล้วเกิดอะไรขึ้นบ้าง?

2. ทั้งแพลตฟอร์มไม่ได้ใช้ PHP เลย

ฟีเจอร์ที่ต้องใช้เซิร์ฟเวอร์ เช่น รับข้อมูลจากฟอร์มและระบบบทความ แพลตฟอร์ม C Building เป็นผู้ดูแลให้ทั้งหมด ใช้ Java และ TypeScript ไม่มี PHP

3. ที่แก้เว็บแยกจากเว็บจริง

ตอนที่คุณแก้เว็บในตัวแก้ไข หรือให้ AI ของเว็บเขียนโค้ดให้ งานจะทำในสภาพแวดล้อมแก้ไขบนคลาวด์ที่แยกกันของแต่ละเว็บ แยกจากเว็บจริงที่คนทั่วไปเห็น

4. การอัปเดตเป็นหน้าที่ของแพลตฟอร์ม ไม่ใช่ของคุณ

คุณไม่ต้องรู้ว่าเว็บใช้เวอร์ชันอะไร หรือต้องอัปเดตตอนไหน เราเป็นคนดูแลการอัปเดตซอฟต์แวร์บนเซิร์ฟเวอร์เอง คุณไม่ต้องอัปเกรดอะไร และไม่ต้องลงปลั๊กอิน

พูดตามตรง: ไม่มี PHP ไม่ได้แปลว่าจะไม่มีปัญหาความปลอดภัยตลอดไป

ซอฟต์แวร์ทุกตัวมีช่องโหว่ได้ ซอฟต์แวร์ที่ C Building ใช้ก็เช่นกัน สิ่งที่ต่างคือ:

• จุดที่โจมตีได้น้อยกว่า: เว็บจริงแค่ส่งไฟล์หน้าเว็บที่ทำเสร็จแล้ว ไม่ได้รันโปรแกรมทุกครั้งที่มีคนเข้าดู
• แพลตฟอร์มแก้ให้ทีเดียว: เมื่อมีช่องโหว่ เราอัปเดตครั้งเดียว ทุกเว็บก็ได้รับการปกป้องพร้อมกัน ไม่ต้องรอให้เจ้าของเว็บแต่ละคนลงมือเอง
• ถ้ามีปัญหาก็กู้คืนได้: ข้อมูลของแพลตฟอร์มถูกสำรองแบบเข้ารหัสทุกวัน และทุกครั้งที่เผยแพร่เว็บจะมีบันทึกไว้ ย้อนกลับไปเวอร์ชันก่อนหน้าได้ (ดู แก้พังก็ไม่ต้องกลัว)

คำถามที่พบบ่อย

ฉันใช้ WordPress ต้องย้ายเว็บทันทีเลยไหม?

ไม่ต้องรีบย้าย สิ่งสำคัญที่สุดคือให้ผู้ให้บริการโฮสติ้งหรือนักพัฒนาอัปเดต PHP และ WordPress ให้เรียบร้อยก่อน ถ้าคุณพบว่าตัวเองต้องคอยกังวลเรื่องอัปเดต ปลั๊กอิน และความปลอดภัยอยู่ตลอด และไม่อยากดูแลเรื่องพวกนี้อีกแล้ว ค่อยพิจารณาเปลี่ยนไปใช้แบบที่แพลตฟอร์มดูแลให้ C Building ย้ายเว็บ WordPress เข้ามาได้

เว็บของฉันอยู่บนแพลตฟอร์มอย่าง Wix หรือ Shopify ต้องทำอะไรไหม?

บริการแบบนี้ที่แพลตฟอร์มดูแลเซิร์ฟเวอร์ให้ การอัปเดตเซิร์ฟเวอร์เป็นหน้าที่ของแพลตฟอร์ม ผู้ใช้ทั่วไปไม่ต้องอัปเดต PHP เอง ถ้ายังไม่สบายใจ ลองดูว่าแพลตฟอร์มที่คุณใช้มีประกาศเรื่องนี้หรือเปล่า

เว็บของ C Building มีฟอร์ม แล้วฟอร์มไม่ต้องใช้เซิร์ฟเวอร์เหรอ?

ต้องใช้ ข้อมูลที่ส่งจากฟอร์มจะส่งไปให้แพลตฟอร์ม C Building จัดการ ไม่ได้ใช้โปรแกรมบนเว็บของคุณ แพลตฟอร์มนี้เราดูแลและอัปเดตให้ทั้งหมด และไม่ได้ใช้ PHP

จะรู้ได้ยังไงว่าเว็บของฉันใช้ PHP หรือเปล่า?

ถ้าเว็บของคุณเป็น WordPress, Drupal, Joomla หรืออยู่บนโฮสติ้งทั่วไป (shared hosting) แทบจะแน่นอนว่าใช้ PHP ถ้าไม่แน่ใจ วิธีที่เร็วที่สุดคือถามคนที่ทำเว็บให้หรือผู้ให้บริการโฮสติ้งตรง ๆ

สรุป

PHP2Shell เป็นหนึ่งในช่องโหว่เว็บที่กระทบกว้างที่สุดในช่วงหลายปีมานี้ เพราะไม่เลือกเว็บ และไม่ต้องใช้รหัสผ่าน แค่ PHP ไม่ได้อัปเดตก็มีความเสี่ยงแล้ว ถ้าเว็บของคุณใช้ PHP วันนี้เลยให้ผู้ให้บริการโฮสติ้งหรือนักพัฒนาเช็กเวอร์ชัน

ถ้าคุณไม่อยากกังวลกับเรื่องแบบนี้อีก วิธีของ C Building คือ: เผยแพร่เว็บเป็นหน้าเว็บที่ทำเสร็จไว้ล่วงหน้า แพลตฟอร์มดูแลการอัปเดตเซิร์ฟเวอร์ให้ คุณแค่ตั้งใจทำธุรกิจของคุณ

แหล่งข้อมูล

• หน่วยงานความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ CISA: Critical Vulnerabilities in PHP Require Immediate Patching (เผยแพร่ 21 ตุลาคม 2026 อัปเดต 26 ตุลาคม)
• Patchstack: Major security alert: PHP vulnerable to critical RCE
• Palo Alto Networks Unit 42: Threat Brief: CVE-2026-109618, CVE-2026-109619
• SiteGround: Critical PHP vulnerabilities: SiteGround sites protected
• CIS: A Vulnerability in WordPress Could Allow for Remote Code Execution (CVE-2026-87902)

ข้อมูลข้างต้นตรวจสอบเมื่อวันที่ 27 ตุลาคม 2026 สถานการณ์ด้านความปลอดภัยเปลี่ยนเร็วมาก โปรดยึดตามประกาศล่าสุดจาก PHP และผู้ให้บริการโฮสติ้งของคุณ