php2shell (CVE-2026-109618 และ CVE-2026-109619)

วันที่ 21 ตุลาคม 2026 PHP ปล่อยแพตช์อุดช่องโหว่ที่เปิดให้รันโค้ดข้ามเครื่องได้โดยไม่ต้องล็อกอิน พร้อมกับที่ Wiz Research เผยแพร่รายงานชื่อ php2shell เรื่องนี้สำคัญสองชั้น ชั้นแรกคือตัวช่องโหว่เองที่กระทบเว็บจำนวนมหาศาล ชั้นที่สองคือบทบาทของเครื่องมือ AI ซึ่งปรากฏทั้งในฝั่งที่หาช่องโหว่และฝั่งที่ตรวจโค้ดเพื่อตั้งรับ

ตัวช่องโหว่

ช่องโหว่ออกเป็นสองรหัส ชื่อทางการใน advisory ของ php-src คือ CVE-2026-109618 ที่เรียกว่า RCE via OOM corruption และ CVE-2026-109619 ที่เรียกว่า RCE via stale global state (GHSA)

ความรุนแรงที่ประกาศคือ CVSS เวอร์ชัน 4.0 ที่คะแนน 9.2 โดย vector ที่ระบุไว้มีค่า AC:H และ AT:P ซึ่งหมายถึงเงื่อนไขการโจมตีมีความซับซ้อนสูงและต้องอาศัยจังหวะที่เหมาะ (GHSA) จุดนี้สำคัญเวลาเล่าเรื่อง เพราะคะแนน 9.2 ไม่ได้แปลว่าโจมตีได้ง่าย

PHP Foundation ยืนยันด้วยว่าคะแนน 10.0 ที่หลุดออกไปก่อนกำหนดนั้นผิด โดยเขียนว่า "They came with a wrong release time and a wrong CVSS score of 10.0 (the actual score is 9.2)." (PHP Foundation)

กลไกของ CVE-2026-109618 คือ PHP ใช้ longjmp() ตอนหน่วยความจำถึงเพดาน ทำให้กระโดดออกจากบริบทก่อนที่การเตรียมหน่วยความจำของ request จะเสร็จ ส่วน CVE-2026-109619 คือสถานะระดับ worker ที่ค้างอยู่ advisory อธิบายว่า fatal error ที่เกิดผิดจังหวะทำให้สถานะภายในชี้ไปที่หน่วยความจำซึ่งเคยเป็นของ request ก่อนหน้า แล้ว request ถัดไปที่ worker เดียวกันหยิบหน่วยความจำที่คืนไปแล้วนั้นมาใช้ (GHSA) การโจมตีจึงต้องมี request ฝั่งที่สร้างความเสียหายกับ request ฝั่งที่ไปใช้ของเสียนั้น บน worker เดียวกัน

Wiz สาธิตการรันโค้ดข้ามเครื่องแบบไม่ต้องล็อกอินได้บน container image ของ WordPress, Drupal และ Joomla โดยระบุว่าเป็น image ล่าสุด ณ เวลาที่ทดสอบ ซึ่งคือช่วงเดือนสิงหาคม 2026 ไม่ใช่ล่าสุดของวันนี้ (Wiz)

เวอร์ชันที่กระทบและเวอร์ชันที่แก้แล้ว

เวอร์ชันที่แก้แล้วคือ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ซึ่งตรงกันทั้งใน advisory, ประกาศของ PHP Foundation และหน้า archive ของ php.net ที่ลงรายการปล่อยทั้งสี่ตัวในวันที่ 21 ตุลาคม 2026 (php.net)

เรื่องขอบเขตที่กระทบต้องระวังในการอ้าง บทสรุปผู้บริหารของ Wiz เขียนว่า "Every PHP version released in the last decade is affected by at least one of these vulnerabilities, going back to version 5.4." แต่ส่วน Overview ของหน้าเดียวกันใช้คำอ่อนกว่าว่า "Nearly every PHP version is affected by at least one of these issues" (Wiz)

และคำว่าทศวรรษนั้นคลาดจากข้อเท็จจริง เพราะ PHP 5.4.0 ออกเมื่อวันที่ 1 มีนาคม 2012 คือกว่า 14 ปีก่อน ไม่ใช่สิบปี (php.net archive 2012) ส่วน advisory ที่เป็นข้อมูลให้เครื่องอ่านระบุช่วงที่กระทบไว้แค่ branch ที่ยังรองรับอยู่ คือต่ำกว่า 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 (GHSA)

เส้นทางการค้นพบมีหลายสาย

จุดที่รายงานข่าวส่วนใหญ่เล่าคลาดคือการสรุปว่ามีผู้ค้นพบรายเดียว ความจริงมีอย่างน้อยสามสาย

PHP Foundation ระบุว่าบริษัทความปลอดภัยชื่อ Calif เริ่มตรวจ PHP เมื่อวันที่ 30 กรกฎาคม 2026 และ Calif กับ OpenAI รายงานต้นตอเดียวกันเข้ามาเมื่อวันที่ 11 สิงหาคม 2026 (PHP Foundation)

ไทม์ไลน์ที่ Wiz เขียนไว้เองคือ 19 สิงหาคม 2026 พบช่องโหว่ตัวแรก → 20 สิงหาคม ยืนยันรันโค้ดข้ามเครื่องบน Drupal → 21 สิงหาคม ยืนยันบน WordPress → 24 สิงหาคม รายงานทีมความปลอดภัยของ PHP → 21 กันยายน PHP รับทราบและเริ่มแก้แบบประสานงาน → 21 ตุลาคม ปล่อยแพตช์พร้อมเปิดเผยต่อสาธารณะ (Wiz) นั่นคือ Wiz รายงานหลัง Calif และ OpenAI อยู่ 13 วัน

สายที่สามคือต้นตอของปัญหาหน่วยความจำหมด PHP Foundation เขียนว่า "While fixing one of the issues Quarkslab reported, a PHP core developer contracted by the PHP Foundation found the first signs of the OOM problem behind CVE-2026-109618." ซึ่งสืบย้อนไปถึงการตรวจโค้ดเมื่อปี 2024 (PHP Foundation)

สามสายนี้ไม่ได้ขัดแย้งกัน เพราะพูดถึงเหตุการณ์ต่างกรรมต่างวาระ การเขียนว่าคำแถลงของ PHP Foundation ค้านกับของ Wiz จึงเป็นการอ่านผิด

บทบาทของ AI ทั้งสองฝั่ง

ฝั่งที่หาช่องโหว่ Wiz เขียนว่า "We used Wiz Atlas, Gemini 4 Argon and GPT-5.6 Sol throughout this research." และให้เครดิตเจาะจงกับตัวเดียวว่า "Notably, Gemini 4 Argon made an invaluable contribution to finding the vulnerability, exploit development, attack detection, and validation of the patch." (Wiz) ข้อสังเกตคือไม่มีจุดใดในหน้าที่ระบุว่า GPT-5.6 Sol ทำงานส่วนพัฒนาโค้ดโจมตี การเขียนว่าทั้งสามตัวทำทั้งค้นหาและเขียน exploit จึงเกินกว่าที่แหล่งระบุ

TechCrunch รายงานโดยอ้างการเปิดเผยของ OpenAI ว่า Calif เข้าร่วมโครงการ Patch the Planet ของ OpenAI และใช้ GPT-5.6 Sol พบช่องโหว่หนึ่งจุด (TechCrunch) ข้อจำกัดคือบล็อกของ OpenAI เองเปิดอ่านจากที่นี่ไม่ได้ ข้อนี้จึงมีแหล่งเดียวคือ TechCrunch

ฝั่งที่ตั้งรับก็ใช้เครื่องมือแบบเดียวกัน PHP Foundation เขียนว่า "Earlier this year, we worked with Alpha-Omega to scan PHP with Anthropic's Claude Mythos." และต่อมา "since the Mythos scan, we have added other tools, including OpenAI's Daybreak Red for validating reports and exploits." โดยมีตำแหน่งที่เรียกว่า AI Security Engineer in Residence อยู่ในทีม (PHP Foundation)

ประโยคที่สรุปแก่นของเรื่องนี้ได้ดีที่สุดเป็นของ Wiz คือ "Frontier AI models substantially reduced that barrier, turning a longstanding flaw into an exploit." (Wiz) บริบทที่ต้องยกมาด้วยคือ Wiz อธิบายว่าการพิสูจน์ว่าช่องโหว่นี้ใช้โจมตีได้จริงต้องต่อขั้นตอนที่ซับซ้อนมาก สิ่งที่โมเดลช่วยลดคือกำแพงความยากนั้น ไม่ใช่ทำให้ใครก็โจมตีได้

การเปิดเผยที่รั่วก่อนกำหนด

PHP Foundation เล่าว่ารหัส CVE สองตัวเริ่มหมุนบนฟอรัมและโซเชียลตั้งแต่วันที่ 20 ตุลาคม ราว 15:00 UTC พร้อมเวลาปล่อยที่ผิดและคะแนนที่ผิดเป็น 10.0 และในจังหวะนั้นยังไม่มีรายละเอียดทางเทคนิครั่ว มูลนิธิจึงเลื่อนการประกาศล่วงหน้ามาเผยแพร่เร็วขึ้นที่ 19:30 UTC ของวันเดียวกัน และเลื่อนวันปล่อยตัวจริงจาก 22 ตุลาคม 14:00 UTC มาเป็น 21 ตุลาคม 14:00 UTC (PHP Foundation)

หลังจากนั้นรายละเอียดรั่วเพิ่ม มูลนิธิระบุว่า Calif ซึ่งเป็นหนึ่งในบริษัทที่รายงานช่องโหว่ เผยแพร่วิดีโอสาธิตการโจมตีออกไปโดยพลาด วิดีโอถูกลบแล้วแต่สำเนากระจายบนโซเชียลต่อ และมูลนิธิประเมินว่าวิดีโอนั้นมีส่วนทำให้มีการพัฒนาโค้ดโจมตีตามมาเร็วขึ้น (PHP Foundation) เรื่องวิดีโอนี้มีแหล่งเดียวคือ PHP Foundation และหน้าของ Wiz ไม่เอ่ยถึงเลย

ผลกระทบที่เห็นเป็นรูปธรรมคือรัฐบาลเนเธอร์แลนด์แจ้งเมื่อวันที่ 21 ตุลาคมว่าได้นำเว็บไซต์ของศูนย์ความมั่นคงไซเบอร์แห่งชาติออฟไลน์ชั่วคราวเพื่อความปลอดภัยไว้ก่อน ("uit voorzorg") เนื่องจากช่องโหว่ใน PHP (rijksoverheid.nl) ปัจจุบันเว็บนั้นกลับมาให้บริการแล้ว

สิ่งที่โครงการเปลี่ยนหลังเหตุนี้

PHP Foundation ประกาศการเปลี่ยนแปลงหลายอย่างในกระบวนการความปลอดภัยของตัวเอง คือตั้ง Ecosystem Security Team เมื่อเดือนพฤษภาคม 2026 รับคนเพิ่มในเดือนกรกฎาคมและกันยายน แก้กระบวนการให้ทีมความปลอดภัยตัดสินด้วยเสียงข้างมากได้ เปิดให้ผู้บริหารมูลนิธิเข้ามาช่วยผลักช่องโหว่ที่แก้ยากให้จบ และเพิ่มเครื่องมือตรวจสอบกับสภาพแวดล้อมที่ทำซ้ำได้ตรงกับ CI ทุกแพลตฟอร์มที่รองรับ (PHP Foundation)

เรื่องที่คนเข้าใจผิดบ่อย

คะแนน 9.2 ไม่ได้แปลว่าโจมตีง่าย vector ของ CVSS v4.0 ระบุความซับซ้อนสูงและต้องอาศัยจังหวะ การเล่าว่าใครก็ยิงได้จึงคลาดจากเอกสาร

คำว่าช่องโหว่อายุหนึ่งทศวรรษไม่ตรงกับข้อเท็จจริง PHP 5.4 ออกปี 2012 และสื่อบางแห่งระบุย้อนไปถึง PHP 5 ซึ่งออกปี 2004

Wiz ไม่ใช่ผู้รายงานรายแรก Calif กับ OpenAI รายงานต้นตอเดียวกันก่อน 13 วัน

คำแนะนำลดความเสี่ยงชั่วคราวที่หมุนกันบนอินเทอร์เน็ต เช่นการปิด session upload progress มีการจับคู่เข้ากับรหัส CVE สลับกันอยู่มาก ถ้าจะใช้ควรทำทั้งชุดและรีสตาร์ต worker ไม่ควรเลือกทำข้อเดียวโดยอ้างว่าตรงกับรหัสใดรหัสหนึ่ง และทางแก้ที่สมบูรณ์ทางเดียวคือการอัปเดตเวอร์ชัน

สิ่งที่ยังไม่มีหลักฐาน

ไทม์ไลน์ของ Wiz และคำบรรยายบทบาท AI ของ Wiz มีแหล่งเดียวคือ Wiz เอง เรื่องวิดีโอที่รั่วมีแหล่งเดียวคือ PHP Foundation และบทบาทของ OpenAI ยืนยันได้เฉพาะผ่าน TechCrunch เพราะบล็อกต้นทางเปิดอ่านไม่ได้

ยังไม่มีรายงานอิสระว่ามีการโจมตีจริงในวงกว้างหรือไม่ และยังไม่มีข้อมูลว่ามีเว็บจำนวนเท่าไรที่ยังไม่อัปเดต

คำถามที่ยังไม่มีคำตอบ

• branch ที่หมดการรองรับแล้วอย่าง 7.4, 8.0 และ 8.1 มี patch แยกให้จริงหรือไม่ และใครดูแล
• โครงการ Patch the Planet ของ OpenAI ครอบคลุมโครงการใดอีก และมีผลงานอื่นที่เปิดเผยแล้วหรือไม่
• จะมีเคสถัดไปที่เครื่องมือ AI หาช่องโหว่ระดับนี้ในโครงสร้างพื้นฐานตัวอื่นเร็วแค่ไหน

ดูเพิ่ม claude-ecdsa-curve-seeds-2026 · gemini-4-argon · every-model-cheats-cybench · inference-engine-attack-surface