คำอธิบาย: อธิบายการทำงานของ PHP แบบง่าย ๆ วิธีเช็กเวอร์ชัน ความต่างระหว่างข้ามล็อกอินกับเจาะเซิร์ฟเวอร์ และการแก้ไข
อินเทอร์เน็ตจะล่มตามเวลาที่ประกาศหรือ?
วันที่ 21 ตุลาคม 2026 เวลา 14.00 UTC หรือ 21.00 น. ตามเวลาไทย ไม่ใช่เวลาที่อินเทอร์เน็ตจะระเบิด แต่เป็นกำหนดปล่อยแพตช์ของ PHP ตอนนี้แพตช์ออกแล้ว ผู้ดูแลเว็บต้องติดตั้งและตรวจสอบว่า PHP ที่ให้บริการจริงได้รับการแก้ไข
การเปลี่ยนรหัสผ่าน WordPress หรืออัปเดตปลั๊กอินอย่างเดียวไม่ใช่การแก้ปัญหาใน PHP ของเซิร์ฟเวอร์ ผู้ใช้งานทั่วไปควรระวังอีเมลหลอกที่อ้างการยืนยันตัวตนฉุกเฉิน
PHP ทำงานอะไร? ลองนึกถึงห้องหลังร้านค้า
PHP เป็นภาษาที่ทำงานบนเซิร์ฟเวอร์เว็บไซต์ เมื่อลูกค้ากดซื้อสินค้า ระบบอาจใช้ PHP ตรวจสอบการเข้าสู่ระบบ ดูราคาและสต็อก บันทึกคำสั่งซื้อ แล้วส่งผลกลับไปยังหน้าจอ WordPress ร้านค้าออนไลน์ และระบบภายในบริษัทก็ใช้ PHP ได้ ส่วนการชำระเงินอาจส่งให้บริการอื่นจัดการ PHP เปรียบเหมือนพนักงานหลังร้านที่ลูกค้าไม่เห็น
กด F12 แล้วจะเห็น PHP ไหม?
เครื่องมือนักพัฒนาในเบราว์เซอร์แสดง HTML ซึ่งเป็นโครงสร้างหน้าเว็บ CSS ซึ่งกำหนดหน้าตา และ JavaScript ซึ่งควบคุมการโต้ตอบ แต่ PHP ทำงาน บนเซิร์ฟเวอร์ก่อน จึงมักเห็นเพียงผลลัพธ์ ไม่เห็นโค้ดต้นฉบับ เห็นอาหารแต่ไม่เห็นสูตรในครัว
ใน Chrome กด F12 → Network → โหลดหน้าใหม่ → เลือกคำขอเอกสารหลัก → Headers ข้อความ X-Powered-By: PHP/... หรือชื่อไฟล์ลงท้าย .php อาจเป็นเบาะแส แต่สามารถซ่อนได้ F12 ไม่สามารถยืนยันว่าเซิร์ฟเวอร์มีช่องโหว่หรือไม่
| เทคโนโลยี | หน้าที่หลัก |
|---|---|
| HTML / CSS | โครงสร้าง / รูปลักษณ์หน้าเว็บ |
| JavaScript | การทำงานในเบราว์เซอร์และบนเซิร์ฟเวอร์ |
| PHP | ตรวจสอบบัญชี ดึงข้อมูล บันทึกข้อมูลบนเซิร์ฟเวอร์ |
| Python / Java / Go | ภาษาอื่นที่สร้างระบบหลังบ้านได้ |
| SQL | ค้นหาและแก้ไขข้อมูลในฐานข้อมูล |
| P2P | วิธีสื่อสารระหว่างอุปกรณ์ ไม่ใช่ภาษาโปรแกรม |
PHP อาจใช้ SQL เพื่อถามฐานข้อมูล จึงไม่ใช่ของที่ใช้แทนกันโดยตรง
ข้อมูลที่ยืนยันแล้วมีอะไรบ้าง?
ข้อมูลทางการ ณ 22 ตุลาคม 2026: PHP เผยแพร่รุ่นแก้ไขช่องโหว่ร้ายแรง 2 รายการ แต่ละรายการได้คะแนน CVSS v4.0 9.2/10 เป็นคะแนนความรุนแรง ไม่ได้แปลว่ามีโอกาสถูกเจาะ 92%
| สายรุ่น PHP | รุ่นที่แก้ไขแล้ว |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
CVE-2026-109618 เกี่ยวกับการจัดการผิดพลาดเมื่อหน่วยความจำไม่พอ ส่วน CVE-2026-109619 เกี่ยวกับข้อมูลภายในที่ตกค้างจากคำขอก่อนหน้าแล้วถูกใช้อีกครั้ง ทั้งสองรายการอาจทำให้ผู้โจมตี สั่งรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องเข้าสู่ระบบ ภายใต้เงื่อนไขที่เหมาะสม โดยเฉพาะ Apache mod_php มีการสาธิตการโจมตีก่อนโค้ดของเว็บไซต์จะเริ่มทำงาน ส่วน PHP-FPM และรูปแบบอื่นก็ต้องตรวจสอบ
PHP โครงการหลักไม่ได้สนับสนุน 8.1 และรุ่นเก่ากว่า ตามปกติแล้ว แต่ผู้จำหน่ายระบบปฏิบัติการบางรายอาจนำแพตช์ไปใช้กับรุ่นเก่า และมีแพตช์ซอร์สโค้ดกรณีพิเศษสำหรับ 7.4, 8.0 และ 8.1 จึงต้องดูประกาศผู้ให้บริการ ไม่ใช่ดูแต่เลขรุ่น PHP 8.2 จะสิ้นสุดการสนับสนุนวันที่ 31 ธันวาคม 2026
เรื่องที่น่าตกใจคือพบเค้าของช่องโหว่แรกตั้งแต่ ปี 2024 PHP Foundation ยอมรับว่าการออกแบบวิธีแก้และทรัพยากรที่จำกัดทำให้ล่าช้า การสาธิตว่าโจมตีได้ไม่ได้แปลว่าทุกเว็บไซต์ถูกเจาะแล้ว มูลนิธิรายงานว่ายังไม่พบตัวอย่างโค้ดโจมตีที่ใช้งานได้จากที่แพร่กระจาย ณ เวลาประกาศ แต่สถานการณ์อาจเปลี่ยนไป
ข้ามรหัสผ่านกับสั่งให้เซิร์ฟเวอร์ทำงานต่างกันอย่างไร?
การข้ามขั้นตอนเข้าสู่ระบบ คือหลอกระบบตรวจสอบตัวตน ส่วน การรันโค้ดจากระยะไกล (RCE) คือทำให้เซิร์ฟเวอร์รันคำสั่งที่ไม่ได้รับอนุญาต PHP ยืนยันแล้วว่าช่องโหว่ทั้งสองอาจทำให้เกิด RCE โดยไม่ต้องล็อกอิน เมื่อเข้าเงื่อนไข
Apache mod_php มีการพิสูจน์การโจมตีผ่านช่องโหว่แรกก่อนโค้ดแอปพลิเคชันเริ่มทำงาน PHP-FPM ก็มีเส้นทางเสี่ยงที่ขึ้นกับตัวแอป ความเสียหายขึ้นกับสิทธิ์ของ PHP ฐานข้อมูล และเครือข่าย ไม่ใช่ข้อสรุปว่าทุกเว็บข้อมูลรั่วไหล
ตารางความเร่งด่วน
| สถานการณ์ | ลำดับ | เหตุผลและสิ่งที่ควรทำ |
|---|---|---|
| เว็บสาธารณะ + ยังไม่แก้ + มีข้อมูลส่วนตัวมาก | ด่วนที่สุด | เข้าถึงจากภายนอกได้และความเสียหายสูง: อัปเดต จำกัดการเข้าถึง เก็บบันทึก |
| เว็บสาธารณะ + ยังไม่แก้ + เชื่อมฐานข้อมูลภายใน | ด่วนที่สุด | หน้าเว็บอาจเป็นทางเข้าระบบภายใน: จำกัดสิทธิ์และเชื่อมต่อ อัปเดต |
| เว็บสาธารณะ + ยังไม่แก้ + ข้อมูลสำคัญน้อย | สูง | อาจแก้ไขหน้าเว็บหรือใช้โจมตีระบบอื่น: รีบอัปเดต |
| เฉพาะเครือข่ายบริษัท + ยังไม่แก้ + ข้อมูลสำคัญ | สูง | เครื่องที่ติดมัลแวร์หรือ VPN อาจเป็นทางเข้า: อัปเดตและตรวจสิทธิ์ |
| เครือข่ายภายใน + ยังไม่แก้ + ข้อมูลน้อย | กลางถึงสูง | อาจลุกลามไปเครื่องอื่น: แยกเครือข่ายและแก้ไข |
| แก้ไขแล้ว + ข้อมูลสำคัญ | ตรวจย้อนหลัง | อาจมีการบุกรุกก่อนติดตั้งแพตช์ |
| ยืนยันว่าไม่ใช้ PHP | ไม่กระทบโดยตรง | ตรวจบริการเสริมเพิ่มเติม |
การเปิดสู่อินเทอร์เน็ต สิทธิ์ของ PHP ข้อมูลที่เก็บไว้ และการเชื่อมต่อไปยังระบบอื่นเป็นปัจจัยที่เพิ่มความเสี่ยงร่วมกัน
ตรวจอย่างไรว่าระบบของเรามีความเสี่ยง?
ตรวจตามลำดับ PHP อยู่ตรงไหน → เวอร์ชันที่เว็บใช้จริง → เวอร์ชันที่ประกาศว่าได้รับผลกระทบ → ติดตั้งแพตช์แล้วหรือยัง
ใน WordPress ไปที่ Tools → Site Health → Info → Server การอัปเดต WordPress หรือปลั๊กอินไม่เท่ากับอัปเดต PHP หากใช้โฮสติ้งให้ดูประกาศของผู้ให้บริการ ผู้ดูแลเซิร์ฟเวอร์ตรวจ php -v ได้แต่เป็นเวอร์ชันในคำสั่ง ซึ่งอาจต่างจาก PHP ของเว็บ ต้องตรวจ PHP-FPM คอนเทนเนอร์และแพ็กเกจระบบด้วย อย่าทดสอบโจมตีระบบที่ตนไม่มีสิทธิ์ดูแล
อัปเดต WordPress อย่างเดียวพอไหม?
PHP รุ่นแก้ไข 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 เผยแพร่แล้ว ต้องอัปเดต PHP บนเซิร์ฟเวอร์แยกจาก WordPress
การอัปเดต WordPress หรือปลั๊กอิน ไม่ได้หมายความว่า PHP บนเซิร์ฟเวอร์ได้รับการอัปเดตด้วย เปิด Tools → Site Health → Info → Server เพื่อตรวจสอบเวอร์ชัน PHP หากใช้โฮสติ้งให้ดูประกาศอย่างเป็นทางการของผู้ให้บริการ หากจัดการเซิร์ฟเวอร์เองให้สำรวจจุดที่ใช้ PHP จัดเตรียมข้อมูลสำรอง วิธีคืนค่าระบบ และผู้รับผิดชอบ
ขณะนี้แพตช์ออกแล้ว ให้ตรวจสอบเวอร์ชันที่เกี่ยวข้อง ทำตามคำแนะนำของผู้พัฒนา และทดสอบการเข้าสู่ระบบ การเผยแพร่เนื้อหา และแบบฟอร์ม การเปลี่ยนค่าระบบจริงแบบสุ่มเสี่ยงก็เหมือนเอาเว็บไซต์ไปเสี่ยงโชค
ก่อนและหลังติดตั้งแพตช์ต้องทำอะไร?
PHP รุ่นแก้ไข 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 เผยแพร่แล้ว ต้องอัปเดต PHP บนเซิร์ฟเวอร์แยกจาก WordPress
จดรายชื่อระบบ PHP ผู้รับผิดชอบ และเตรียมสำรองไฟล์กับฐานข้อมูลที่กู้คืนได้ ขณะนี้มีแพตช์อย่างเป็นทางการแล้ว ให้อัปเดต PHP ที่เว็บใช้งานจริงตามคำแนะนำผู้ผลิต รีสตาร์ตบริการตามความจำเป็น แล้วทดสอบล็อกอิน โพสต์ แบบฟอร์ม คำสั่งซื้อ และการเชื่อมต่อระบบอื่น
หากยังอัปเดตไม่ได้ ให้จำกัดผู้เข้าถึงจากภายนอก ลดสิทธิ์ฐานข้อมูล และใช้ไฟร์วอลล์เว็บเป็นชั้นเสริม การปิดตัวเลือกอัปโหลดเพียงอย่างเดียวไม่ได้ยืนยันว่าป้องกันได้ครบทั้งสองจุด หากผลเสียร้ายแรงควรพิจารณาหยุดหรือแยกระบบชั่วคราว
หากสงสัยว่าถูกเจาะแล้ว ให้เก็บหลักฐานและบันทึกการทำงาน ตรวจบัญชี ไฟล์ และการเชื่อมต่อที่ผิดปกติร่วมกับผู้เชี่ยวชาญ ซ่อมกุญแจไม่ได้ทำให้รายชื่อลูกค้าที่ถูกขโมยกลับมาเอง AI อาจช่วยให้โจมตีเร็วขึ้น แต่ประกาศช่องโหว่ไม่ได้แปลว่าทุกเว็บถูกเจาะแล้ว
เว็บที่ไม่ใช้ PHP ล่ะ?
เว็บไซต์แบบไฟล์คงที่หรือบริการ JavaScript/TypeScript ที่ไม่มี PHP ทำงานเลย ไม่ได้รับผลโดยตรงจากข้อบกพร่องใน PHP แต่ระบบจัดการอื่น บริการภายนอก หรืออุปกรณ์บางชนิดอาจมี PHP และการใช้ Cloudflare ไม่ได้แปลว่าเซิร์ฟเวอร์ต้นทางได้รับแพตช์แล้ว
เริ่มด้วยสามคำถาม: PHP อยู่ที่ไหน ใครอัปเดต และจะตรวจสอบผลหลังอัปเดตอย่างไร?
ผู้ใช้ทั่วไปต้องทำอะไร?
ผู้เข้าชมเว็บไม่สามารถแก้ไขเซิร์ฟเวอร์ของผู้อื่นได้ หากได้รับข้อความให้ “ยืนยันบัญชีด่วน” ให้เปิดแอปหรือเว็บไซต์ทางการด้วยตนเอง แทนการกดลิงก์ในข้อความแปลกหน้า
คำถามที่พบบ่อย
เปลี่ยน PHP เป็น Python ดีไหม? การเขียนระบบใหม่ทั้งชุดมักไม่ใช่วิธีแก้ทันที ควรลงแพตช์ที่ถูกต้องก่อน
ทุกคนต้องเปลี่ยนรหัสผ่านหรือไม่? ไม่จำเป็นเพียงเพราะข่าวนี้ หากมีเหตุข้อมูลรั่วจริงให้ตรวจผ่านช่องทางทางการ
ใช้ Cloudflare แล้วปลอดภัยเลยไหม? ช่วยป้องกันได้บางส่วน แต่ไม่ใช่หลักฐานว่า PHP ได้รับการแก้ไข
คะแนน 9.2 หมายถึงโอกาสถูกแฮ็ก 92% หรือไม่? ไม่ใช่ เป็นคะแนนความรุนแรง
เวลา 21.00 น. คือเวลาระเบิดหรือ?
เวลาที่ประกาศไม่ใช่เวลาระเบิดของอินเทอร์เน็ต แต่เป็น เวลาส่งอะไหล่ซ่อมแซม และอะไหล่ก็มาถึงแล้ว ตรวจรุ่น PHP ที่ทำงานจริง ติดตั้งแพตช์ ทดสอบระบบ และตรวจสอบร่องรอยการบุกรุกหากมีเหตุสงสัย อัปเดต WordPress อย่างเดียวก็เหมือนเปลี่ยนป้ายร้านแต่ปล่อยกุญแจประตูเสียไว้ ข้อมูล ณ 22 ตุลาคม 2026 เวลา 01.26 น. JST
เอกสารอ้างอิง (12 รายการ)
PHP Security Team, 2026-10-20: https://www.php.net/archive/2026.php#2026-10-20-1
IPA, 2026-10-21: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
WordPress documentation: https://wordpress.org/documentation/article/site-health-screen/
Cloudflare Workers languages: https://developers.cloudflare.com/workers/languages/
PHP manual, basic web execution: https://www.php.net/manual/en/tutorial.firstpage.php
Chrome DevTools, Network requests and response headers: https://developer.chrome.com/docs/devtools/network/reference
CERT-EU Security Advisory 2026-018, 2026-10-20/21: https://cert.europa.eu/publications/security-advisories/2026-018/
PHP official support periods: https://www.php.net/supported-versions.php
PHP Security Advisory, 2026-10-21: https://www.php.net/archive/2026.php
PHP Foundation, background and disclosure, 2026-10-21: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
CVE-2026-109618 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
CVE-2026-109619 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
