เจาะลึกช่องโหว่ Critical PHP2Shell (CVE-2026-109618 / CVE-2026-109619) วิกฤต RCE ยึดเซิร์ฟเวอร์ พร้อมแนวทางตรวจสอบและแก้ไขด่วน

วงการความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity) กำลังจับตามองอย่างใกล้ชิด หลังมีการตรวจพบตระกูลช่องโหว่ความปลอดภัยระดับวิกฤต (Critical Vulnerability) ในตัวแปลภาษา PHP ภายใต้ชื่อรหัส “PHP2Shell” ซึ่งเปิดช่องให้แฮกเกอร์จากระยะไกลสามารถยึดสิทธิ์และสั่งรันคำสั่งอันตรายบนเซิร์ฟเวอร์ (Remote Code Execution: RCE) ได้ทันที โดยไม่ต้องมีการยืนยันตัวตน (Unauthenticated) และไม่จำเป็นต้องมีสิทธิ์ใดๆ ในระบบมาก่อน

ช่องโหว่นี้ได้รับคะแนนความรุนแรงตามมาตรฐาน CVSS v3.1 สูงถึง 9.2 (Critical) และกระทบต่อเว็บไซต์และเว็บแอปพลิเคชันทั่วโลกที่ใช้งาน PHP ตั้งแต่เวอร์ชัน 5.4 ไปจนถึง 8.5 ในบทความนี้ ทีมงาน mypc2020 ได้รวบรวมสรุปสาเหตุทางเทคนิค ระดับความเสี่ยง วิธีการตรวจสอบเครื่องเซิร์ฟเวอร์ และแนวทางการแก้ไขอย่างละเอียดเพื่อให้ผู้ดูแลระบบ (Sysadmin) และนักพัฒนา (Web Developer) สามารถรับมือได้อย่างทันท่วงทีครับ

1. สาเหตุทางเทคนิคและกลไกการทำงานของ PHP2Shell

ช่องโหว่ PHP2Shell เกิดขึ้นจากความผิดพลาดในการจัดการหน่วยความจำ (Memory Safety / Use-After-Free) ภายในแกนกลางของตัวรันไทม์ PHP (Core Runtime Engine) โดยถูกแบ่งออกเป็น 2 รหัส CVE หลัก ดังนี้:

1.1 CVE-2026-109618: กลไกจัดการ Out-of-Memory (OOM) และ longjmp() ผิดพลาด

ในแกนหลักของ PHP เมื่อโปรเซสเจอสภาวะหน่วยความจำไม่เพียงพอ (Out of Memory) ตัวเอนจินจะเรียกใช้คำสั่ง longjmp() เพื่อข้ามการทำงานและตัดจบโปรเซสอย่างกะทันหัน ทว่าการข้ามโปรเซสนี้ไม่ได้ทำลายหรือเคลียร์พอยน์เตอร์ในหน่วยความจำ (Pointers) ของโครงสร้างข้อมูลอย่างสมบูรณ์ ส่งผลให้เกิดช่องว่างสถานะ Use-After-Free (UAF)

ผู้โจมตีสามารถส่ง HTTP POST Request แบบ multipart/form-data ที่ถูกสร้างขึ้นมาพิเศษ (Malformed Multipart) เช่น การซ้อนโครงสร้างไฟล์หลายชั้นจนทำให้เอนจินหน่วยความจำของ PHP ทำงานจนล้นและเกิดสภาวะ OOM ส่งผลให้หน่วยความจำถูกทำให้เสียหาย (Memory Corruption) จนผู้โจมตีสามารถเขียนทับตัวแปรพอยน์เตอร์และเบี่ยงเบนเส้นทางการประมวลผลของ CPU ได้

1.2 CVE-2026-109619: ช่องโหว่ Use-After-Free ในโมดูล Session Upload Progress

ใน PHP จะมีฟีเจอร์ที่เปิดเป็นค่าเริ่มต้น (Default) ชื่อว่า session.upload_progress ซึ่งมีหน้าที่ติดตามความคืบหน้าเวลาที่มีการอัปโหลดไฟล์ขนาดใหญ่ แต่จุดอันตรายที่สุดคือ โมดูลนี้จะทำการประมวลผลข้อมูลตั้งแต่ขั้นตอน Request Initialization ก่อนที่โค้ดของแอปพลิเคชันหรือระบบตรวจสอบสิทธิ์ (Authentication & Firewall ในโค้ดเว็บ) จะเริ่มทำงานเสียอีก

เมื่อผู้ไม่หวังดีส่งคำขอที่มีตัวแปร Session Upload Progress ร่วมกับเทคนิค Heap Spraying หรือการส่ง Session ID ปลอม จะทำให้โครงสร้างของ Session Data เกิดข้อผิดพลาดและกลายเป็น Use-After-Free ทำให้สามารถควบคุมรีจิสเตอร์ของหน่วยความจำและรันโค้ดคำสั่งเชลล์ของระบบปฏิบัติการ (OS Shell Execution) ได้โดยไม่ต้องผ่านการล็อกอินใดๆ ทั้งสิ้น

2. สรุปความเสี่ยงและผลกระทบต่อระบบ (Impact & Risk)

ความน่ากลัวของ PHP2Shell ไม่ได้อยู่ที่การทำให้เว็บล่ม (Denial of Service) เพียงอย่างเดียว แต่อยู่ที่การให้สิทธิ์ผู้โจมตีอย่างเบ็ดเสร็จ ดังนี้:

• Unauthenticated Remote Shell: แฮกเกอร์ไม่ต้องมีบัญชีผู้ใช้งาน ไม่ต้องรู้รหัสผ่าน เพียงแค่สามารถยิง HTTP/HTTPS Request ไปยังสคริปต์ PHP ใดๆ บนเซิร์ฟเวอร์ ก็สามารถสั่งรันโค้ดได้ทันที
• สิทธิ์ผู้ใช้เว็บเซิร์ฟเวอร์ (Privilege of Web Server User): คำสั่งจะถูกรันด้วยสิทธิ์เดียวกับเว็บเซิร์ฟเวอร์ (เช่น www-data, apache, หรือ nginx) ซึ่งสามารถอ่านและแก้ไขไฟล์ซอร์สโค้ด, ไฟล์คอนฟิกเชื่อมต่อฐานข้อมูล (เช่น wp-config.php), รวมถึงขโมย Environment Variables ที่เก็บ API Key
• การติดตั้ง Web Shell และ Backdoor: เมื่อเจาะเข้าสู่ระบบได้ แฮกเกอร์มักจะฝังไฟล์ Web Shell หรือสั่งเปิด Reverse Shell กลับไปยังเครื่องควบคุมของตน ทำให้สามารถเข้าถึงระบบได้ตลอดเวลาแม้ว่าจะมีการรีสตาร์ตเซิร์ฟเวอร์
• การขยายผลการโจมตี (Lateral Movement & Privilege Escalation): จากเครื่องเว็บเซิร์ฟเวอร์ ผู้โจมตีสามารถค้นหาช่องโหว่ของระบบปฏิบัติการ Linux/Windows เพื่อยกสิทธิ์ตนเองเป็น Root/Administrator และใช้เป็นฐานในการเจาะเครือข่ายภายในองค์กรต่อไป

3. เวอร์ชัน PHP ที่ได้รับผลกระทบ และเวอร์ชันที่ปลอดภัย

ช่องโหว่ครอบคลุม PHP ตั้งแต่เวอร์ชันดั้งเดิม 5.4 เรื่อยมาจนถึง PHP 8.5 ทางทีมผู้พัฒนา PHP ได้ปล่อยแพตช์ความปลอดภัยฉุกเฉินออกมาแล้ว โดยเวอร์ชันที่ได้รับการแก้ไขและปลอดภัย มีดังตารางด้านล่างนี้:

4. วิธีตรวจสอบว่าเซิร์ฟเวอร์ของคุณมีความเสี่ยงหรือไม่

ผู้ดูแลระบบสามารถตรวจสอบเครื่องเซิร์ฟเวอร์ของตนเองได้ตามขั้นตอนต่อไปนี้:

ขั้นตอนที่ 1: ตรวจสอบเวอร์ชัน PHP ที่รันอยู่จริง

เปิด Terminal บนเซิร์ฟเวอร์แล้วพิมพ์คำสั่ง:

php -v

หากใช้งานผ่าน Web Server เช่น Nginx คู่กับ PHP-FPM หรือ Apache อย่าลืมตรวจสอบเวอร์ชันของ FPM หรือสร้างไฟล์ทดสอบ phpinfo(); ชั่วคราว (แล้วลบทิ้งทันที) เพื่อยืนยันว่ารันไทม์ของหน้าเว็บใช้งานเวอร์ชันใด

ขั้นตอนที่ 2: ตรวจสอบค่าคอนฟิก session.upload_progress

ตรวจสอบว่ามีการเปิดใช้งาน Upload Progress หรือไม่ ผ่านคำสั่ง CLI:

php -i | grep -i "session.upload_progress"

หากแสดงผลว่า session.upload_progress.enabled => On => On แสดงว่าเซิร์ฟเวอร์ของคุณเปิดใช้งานฟังก์ชันดังกล่าวอยู่ และมีความเสี่ยงต่อเวกเตอร์ CVE-2026-109619 ทันที

ขั้นตอนที่ 3: ตรวจสอบประวัติการบุกรุกใน Access Log

สแกนไฟล์ Access Log ของเว็บเซิร์ฟเวอร์เพื่อหาการยิง Request ที่ผิดปกติ โดยเฉพาะ HTTP POST ที่มี Header Content-Type: multipart/form-data ปริมาณมาก หรือมีชื่อฟิลด์ที่ตรงกับค่า PHP_SESSION_UPLOAD_PROGRESS:

grep -E "PHP_SESSION_UPLOAD_PROGRESS" /var/log/nginx/*access.log
grep -E "PHP_SESSION_UPLOAD_PROGRESS" /var/log/apache2/*access.log

5. แนวทางการแก้ไขและป้องกันอย่างเร่งด่วน (Remediation & Mitigation)

เพื่อปกป้องเซิร์ฟเวอร์และข้อมูลสำคัญของคุณ ขอแนะนำให้ดำเนินการตามลำดับความสำคัญดังต่อไปนี้ครับ:

5.1 แนวทางหลัก: อัปเกรด PHP เป็นเวอร์ชันแพตช์ทันที (Recommended)

การอัปเกรดแพ็กเกจ PHP ไปยังเวอร์ชันล่าสุดที่มีการแก้ไขช่องโหว่ ถือเป็นวิธีเดียวที่แก้ปัญหาได้อย่างถาวรและครอบคลุมทั้ง 2 CVE:

# สำหรับ Ubuntu / Debian
sudo apt update && sudo apt --only-upgrade install php*

# สำหรับ RHEL / AlmaLinux / Rocky Linux
sudo dnf upgrade php*

# อย่าลืมรีสตาร์ตเซอร์วิสหลังอัปเกรด
sudo systemctl restart php*-fpm
sudo systemctl restart nginx # หรือ sudo systemctl restart apache2

5.2 แนวทางชั่วคราว: ปิดฟังก์ชัน session.upload_progress (Mitigation)

ในกรณีที่เซิร์ฟเวอร์ยังไม่สามารถอัปเกรดเวอร์ชัน PHP ได้ทันทีเนื่องจากติดปัญหาความเข้ากันได้ของระบบเดิม ให้แก้ไขไฟล์ php.ini เพื่อปิดการทำงานของโมดูลนี้ชั่วคราว:

; แก้ไขในไฟล์ php.ini
session.upload_progress.enabled = Off

5.3 การตั้งค่า Web Application Firewall (WAF)

หากใช้งาน WAF เช่น Cloudflare, AWS WAF, หรือ ModSecurity บนเซิร์ฟเวอร์ ให้เปิดใช้งานกฎ (Managed Rules) สำหรับตรวจจับ PHP Remote Code Execution และบล็อก Request แบบ Multipart ที่มีโครงสร้างผิดปกติ หรือมีการส่งพารามิเตอร์แปลกปลอมในชื่อฟิลด์การอัปโหลดไฟล์

6. สรุป Checklist สำหรับผู้ดูแลระบบ

1. ตรวจเช็กเวอร์ชัน: ตรวจสอบว่า PHP บนเครื่องเซิร์ฟเวอร์อยู่ในกลุ่มที่ได้รับผลกระทบหรือไม่
2. ประเมินความเสี่ยง: หากเป็นเซิร์ฟเวอร์ที่เปิด Public สู่โลกอินเทอร์เน็ต ต้องถือเป็นเรื่องด่วนระดับ P0
3. อัปเดตแพตช์ทันที: ดำเนินการติดตั้ง Security Update ของ PHP Core และรีสตาร์ต Service
4. ปิดฟีเจอร์ที่ไม่จำเป็น: หากไม่ได้ใช้งานฟังก์ชันแสดง Progress การอัปโหลด ให้เซ็ต session.upload_progress.enabled = Off
5. มอนิเตอร์ Log สม่ำเสมอ: สังเกตการทำงานและสแกนความผิดปกติของระบบอย่างต่อเนื่องเพื่อความปลอดภัยสูงสุด

ความปลอดภัยของระบบเริ่มต้นที่ความรวดเร็วในการอัปเดต หากคุณมีข้อสงสัยหรือต้องการแลกเปลี่ยนเทคนิคการตั้งค่าเซิร์ฟเวอร์ สามารถคอมเมนต์พูดคุยหรือติดตามบทความอัปเดตเทคโนโลยีใหม่ๆ ได้ที่ mypc2020.com ครับ!