ความปลอดภัย · Security Security

ช่องโหว่ร้ายแรงใน PHP (CVE-2026-109618 และ CVE-2026-109619): ใครได้รับผลกระทบ และต้องทำอะไรตอนนี้ Critical PHP Vulnerabilities (CVE-2026-109618 and CVE-2026-109619): Who Is Affected and What to Do Now

ทีม PHP ประกาศช่องโหว่ระดับ Critical 2 รายการเมื่อ 21 ตุลาคม 2026 ผู้โจมตีอาจสั่งรันโค้ดบนเซิร์ฟเวอร์ได้จากระยะไกล เว็บไซต์ที่ใช้ PHP ควรอัปเดตเป็น 8.2.35, 8.3.36, 8.4.27 หรือ 8.5.12 โดยเร็ว The PHP project disclosed two Critical vulnerabilities on October 21, 2026 that may allow remote code execution. Websites running PHP should update to 8.2.35, 8.3.36, 8.4.27 or 8.5.12 as soon as possible.

22 ตุลาคม 2026 October 22, 2026 อ่าน 6 นาที 6 min read โดย ทีม TechFinder By TechFinder team

สารบัญบทความ

ทีม PHP ประกาศช่องโหว่ระดับ Critical 2 รายการ คือ CVE-2026-109618 และ CVE-2026-109619 เมื่อวันที่ 21 ตุลาคม 2026 ผู้โจมตีอาจใช้ช่องโหว่นี้สั่งรันโค้ดบนเซิร์ฟเวอร์ได้จากระยะไกล เว็บไซต์ที่ใช้ PHP ควรอัปเดตเป็นเวอร์ชัน 8.2.35, 8.3.36, 8.4.27 หรือ 8.5.12 โดยเร็ว ทีม PHP ระบุว่าการอัปเดตเป็นทางเดียวที่ปลอดภัย

เกิดอะไรขึ้น

PHP เป็นภาษาที่เว็บไซต์จำนวนมากใช้ ทั้งเว็บองค์กร ระบบหลังบ้าน และระบบสำเร็จรูปอย่าง CMS ทีม PHP ออกเวอร์ชันแก้ไขพร้อมกับประกาศช่องโหว่ในวันเดียวกัน และหน่วยงานความมั่นคงไซเบอร์ของสหราชอาณาจักร (NCSC) ออกประกาศเตือนตามมาในวันนั้นเลย

ทั้งสองช่องโหว่ได้คะแนน CVSS v4.0 เท่ากับ 9.2 ทีม PHP ยืนยันว่าทดลองโจมตีได้สำเร็จผ่าน HTTP ในสภาพแวดล้อมทดสอบ แต่ ณ วันที่เขียนบทความนี้ ทั้งทีม PHP และ NCSC ยังไม่ได้ระบุว่ามีการโจมตีจริงเกิดขึ้น

ใครได้รับผลกระทบ

ทีม PHP ระบุว่าความเสี่ยงครอบคลุม PHP ทุกเครื่องที่ให้บริการเว็บ ไม่ว่าจะรันผ่าน PHP-FPM, Apache กับ mod_php, php-cgi, FrankenPHP หรือ LiteSpeed โดยเสี่ยงสูงที่สุดในกรณีของ mod_php

สาย PHP	เวอร์ชันที่ได้รับผลกระทบ	เวอร์ชันที่แก้แล้ว
8.2	ต่ำกว่า 8.2.35	8.2.35
8.3	ต่ำกว่า 8.3.36	8.3.36
8.4	ต่ำกว่า 8.4.27	8.4.27
8.5	ต่ำกว่า 8.5.12	8.5.12

PHP 8.1 และเก่ากว่าไม่ได้รับอัปเดตจากทีม PHP แล้ว ทีม PHP มีแพตช์ย้อนหลังแบบจำกัดให้บางสาย และผู้ผลิตระบบปฏิบัติการหรือผู้ให้บริการที่ดูแลระยะยาวอาจออกแพตช์ให้เอง ควรสอบถามผู้ให้บริการที่ใช้อยู่ นอกจากนี้ PHP 8.2 จะหมดระยะการดูแลในวันที่ 31 ธันวาคม 2026 ด้วย

ที่ต้องระวังคือ PHP มักแฝงอยู่ในที่ที่ไม่ได้คิดถึง เช่น อุปกรณ์เครือข่ายที่มีหน้าเว็บสำหรับตั้งค่า ระบบสำเร็จรูปที่ซื้อมา หรือเว็บไซต์ที่จ้างภายนอกดูแล

สิ่งที่ควรทำตอนนี้

ลำดับนี้สรุปจากคำแนะนำของ NCSC และทีม PHP

หาให้ครบว่าใช้ PHP ที่ไหนบ้าง เริ่มจากระบบที่เปิดสู่อินเทอร์เน็ตก่อน NCSC เตือนว่าอย่าดูเฉพาะเครื่องที่รู้ว่าใช้เวอร์ชันเก่า เพราะทุกเวอร์ชันก่อนหน้าเวอร์ชันแก้ไขได้รับผลกระทบ
อัปเดตเป็นเวอร์ชันที่แก้แล้ว ถ้าใช้แพ็กเกจจากระบบปฏิบัติการ เช่น Ubuntu หรือ Red Hat ให้ใช้แพ็กเกจที่ผู้ผลิตออกให้ ทีม PHP แจ้งว่าได้ส่งแพตช์ให้ผู้ผลิตระบบปฏิบัติการ Linux และผู้ให้บริการดูแลระยะยาวล่วงหน้าแล้ว
ติดตามอัปเดตจากผู้ผลิตและผู้ให้บริการภายนอก ที่ดูแลเว็บไซต์ ระบบสำเร็จรูป หรืออุปกรณ์ที่มี PHP อยู่ข้างใน และสอบถามว่าอัปเดตแล้วหรือยัง
ถ้ายังอัปเดตไม่ได้ทันที ทีม PHP มีวิธีตั้งค่าชั่วคราวเพื่อลดความเสี่ยงบางส่วน ดูรายละเอียดในประกาศของทีม PHP ที่แนบไว้ท้ายบทความ แต่ทีม PHP ย้ำว่าไม่มีวิธีตั้งค่าใดป้องกันได้ครบ
ถ้าทั้งอัปเดตและตั้งค่าชั่วคราวไม่ได้ NCSC แนะนำให้พิจารณาปิดระบบนั้นชั่วคราว และตรวจหาร่องรอยการถูกเจาะหรือ backdoor

วิธีเช็กเบื้องต้นว่าเว็บใช้ PHP เวอร์ชันอะไร

ผู้ดูแลระบบเช็กได้จากเครื่องเซิร์ฟเวอร์โดยตรงด้วยคำสั่ง php -v หรือดูจากหน้าควบคุมของผู้ให้บริการโฮสติ้ง บางเว็บจะบอกเวอร์ชัน PHP ไว้ใน HTTP header ชื่อ X-Powered-By ด้วย แต่หลายเว็บปิดการแสดงส่วนนี้ไว้ ซึ่งเป็นการตั้งค่าที่ดี การไม่เห็นเวอร์ชันจากภายนอกจึงไม่ได้แปลว่าเว็บนั้นปลอดภัย ต้องเช็กจากฝั่งเซิร์ฟเวอร์เสมอ

TechFinder ช่วยได้อย่างไร

Managed Security Services (MSSP): บริการเฝ้าระวัง endpoint ด้วย EDR หรือ XDR พร้อม threat hunting และ incident response ทำงานร่วมกับทีมของคุณตลอดอายุสัญญา ช่วยมองหาพฤติกรรมผิดปกติบนเครื่อง เช่น ร่องรอยหลังถูกเจาะ ซึ่งสำคัญมากในช่วงที่ยังอัปเดตไม่ครบ
Exposure Intelligence Platform: ช่วยค้นหาโดเมน subdomain และระบบที่องค์กรเปิดสู่อินเทอร์เน็ต ตรงกับขั้นแรกที่ NCSC แนะนำ คือรู้ให้ครบก่อนว่ามีระบบอะไรเปิดอยู่บ้าง จากนั้นทีมของคุณนำรายการนี้ไปไล่เช็กเวอร์ชัน PHP จากฝั่งเซิร์ฟเวอร์ได้ ตอนนี้ยังไม่มีชุดตรวจเฉพาะสำหรับ 2 CVE นี้ในเครื่องมือสแกนที่ใช้ เมื่อมีชุดตรวจที่เชื่อถือได้ออกมาและเข้าเงื่อนไขการสแกนแบบปลอดภัย แพลตฟอร์มจะนำเข้าตามรอบอัปเดตปกติ
Consulting Services: ที่ปรึกษาด้านความมั่นคงปลอดภัยช่วยวางแผนการอัปเดตและประเมินความเสี่ยงของระบบที่ยังอัปเดตไม่ได้

อยากให้ทีมช่วยดูว่าองค์กรของคุณควรเริ่มจากตรงไหน ติดต่อทีม TechFinder ได้เลย

คำถามที่พบบ่อย Frequently asked questions

ช่องโหว่ PHP รอบนี้ร้ายแรงแค่ไหน How serious are these PHP vulnerabilities?

ทีม PHP จัดเป็นระดับ Critical คะแนน CVSS v4.0 อยู่ที่ 9.2 ทั้งสองรายการ ผู้โจมตีอาจสั่งรันโค้ดบนเซิร์ฟเวอร์ได้จากระยะไกล โดยไม่ต้องล็อกอินก่อน The PHP project rates both as Critical with a CVSS v4.0 score of 9.2. An attacker may be able to execute code on the server remotely without logging in.

PHP เวอร์ชันไหนที่ปลอดภัยแล้ว Which PHP versions are fixed?

เวอร์ชันที่แก้แล้วคือ 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 ส่วน PHP 8.1 และเก่ากว่าไม่ได้รับอัปเดตจากทีม PHP แล้ว ควรวางแผนย้ายไปเวอร์ชันที่ยังได้รับการดูแล The fixed versions are 8.2.35, 8.3.36, 8.4.27 and 8.5.12. PHP 8.1 and older no longer receive updates from the PHP project, so plan to move to a supported version.

ถ้ายังอัปเดตไม่ได้ทันที ทำอะไรได้บ้าง What if we cannot update right away?

ทีม PHP มีวิธีตั้งค่าชั่วคราวเพื่อลดความเสี่ยงบางส่วน แต่ระบุชัดว่าไม่มีวิธีใดป้องกันได้ครบ ทางที่ปลอดภัยที่สุดคือการอัปเดต ถ้าทำไม่ได้จริง NCSC แนะนำให้พิจารณาปิดระบบชั่วคราวหรือตรวจหาร่องรอยการถูกเจาะ The PHP team published temporary configuration changes that reduce some risk, but says there is no complete mitigation. Updating is the only safe choice. If that is truly impossible, the NCSC suggests considering taking the system offline or checking for signs of compromise.

มีการโจมตีจริงแล้วหรือยัง Is it being exploited in the wild?

ณ วันที่ 22 ตุลาคม 2026 ประกาศของทีม PHP และ NCSC ยังไม่ได้ระบุว่ามีการโจมตีจริง แต่ทีม PHP ยืนยันว่าทดลองโจมตีสำเร็จในสภาพแวดล้อมทดสอบแล้ว จึงไม่ควรรอ As of October 22, 2026 neither the PHP project nor the NCSC reports exploitation in the wild, but the PHP team confirmed working exploits in testing, so organizations should not wait.

แหล่งอ้างอิง Sources

อ่านต่อ

SECURITY

ตรวจสอบช่องโหว่เว็บไซต์คืออะไร ต่างจาก Pentest อย่างไร และควรจัดลำดับการแก้อย่างไร Website Vulnerability Checks: How They Differ from a Pentest and How to Prioritize Fixes Beyond CVSS

ตรวจสอบช่องโหว่เว็บไซต์คือการค้นหาและรายงานจุดอ่อนที่มีอยู่ ส่วน Pentest คือการลองใช้จุดอ่อนนั้นเพื่อพิสูจน์ผลกระทบ บทความนี้อธิบายความต่าง และวิธีจัดลำดับการแก้โดยไม่ดูแค่คะแนน CVSS A website vulnerability check finds and reports existing weaknesses, while a pentest tries to use them to prove impact. This article explains the difference and how to rank fixes without relying on the CVSS score alone.

9 พฤศจิกายน 2026 · 8 นาที November 9, 2026 · 8 min read

อ่านบทความ

SECURITY

Attack Surface คืออะไร ทำไมหลายองค์กรไม่รู้ว่ามีอะไรเปิดอยู่บนอินเทอร์เน็ต What Is an Attack Surface? Why Many Organizations Don't Know What Is Exposed on the Internet

Attack surface คือทุกจุดที่คนภายนอกเข้าถึงระบบขององค์กรได้ ทั้งเว็บไซต์ เซิร์ฟเวอร์ และบริการบนคลาวด์ บทความนี้อธิบายว่าทำไมองค์กรจึงมักไม่รู้ว่าทรัพย์สินดิจิทัลของตัวเองเปิดอยู่ตรงไหนบ้าง และเริ่มสำรวจได้อย่างไร An attack surface is every point where outsiders can reach an organization's systems, such as websites, servers and cloud services. This article explains why organizations often lose track of their digital assets and how to start mapping them.

2 พฤศจิกายน 2026 · 7 นาที November 2, 2026 · 7 min read