ถ้าเว็บของคุณทำด้วย WordPress ช่วงนี้คุณอาจได้รับแจ้งเตือนจากผู้ให้บริการโฮสติ้ง หรือเห็นข่าว "PHP พบช่องโหว่ร้ายแรง" บทความนี้จะอธิบายแบบเข้าใจง่ายว่าเกิดอะไรขึ้น กระทบเจ้าของเว็บยังไง เว็บแบบไหนต้องระวัง และทำไมเว็บของ Cmini ไม่ได้รับผลกระทบครั้งนี้
เกิดอะไรขึ้น?
PHP เป็นภาษาโปรแกรมที่ใช้ทำเว็บไซต์ WordPress, Drupal, Joomla, Magento รวมถึงเว็บจำนวนมากที่บริษัทรับทำเว็บทำให้ลูกค้า ล้วนทำงานด้วย PHP ทุกครั้งที่มีคนเปิดหน้าเว็บ PHP บนเซิร์ฟเวอร์จะทำงานหนึ่งรอบเพื่อสร้างหน้าเว็บนั้นขึ้นมา
วันที่ 21 ตุลาคม 2026 PHP ออกแพตช์แก้ช่องโหว่ร้ายแรงสองตัว คือ CVE-2026-109618 และ CVE-2026-109619 ซึ่งวงการความปลอดภัยเรียกว่า PHP2Shell
พูดง่าย ๆ คือ ผู้โจมตีไม่ต้องรู้ชื่อผู้ใช้หรือรหัสผ่านเว็บของคุณ แค่ส่งคำขอที่ประดิษฐ์มาเป็นพิเศษไปที่เว็บ ก็อาจรันโปรแกรมของตัวเองบนเซิร์ฟเวอร์ของคุณได้ เหมือนมีคนเดินเข้าประตูหน้าร้านคุณได้โดยไม่ต้องใช้กุญแจ
ช่องโหว่นี้ร้ายแรงแค่ไหน?
- คะแนนความร้ายแรง 9.2 (เต็ม 10): อยู่ในระดับ "วิกฤต"
- ไม่เกี่ยวกับว่าคุณลงปลั๊กอินอะไรไว้: ปัญหาอยู่ที่ตัว PHP เอง บริษัทความปลอดภัย Patchstack ชี้ว่า ต่อให้เป็นหน้าเว็บที่มีแค่บรรทัดเดียวว่า "Hello World" ถ้าเวอร์ชัน PHP มีช่องโหว่ ก็โดนโจมตีได้
- กระทบกว้างมาก: PHP ตั้งแต่เวอร์ชัน 5.4 ขึ้นไปแทบทุกเวอร์ชันได้รับผลกระทบ ตอนที่ Palo Alto Networks เผยแพร่บทวิเคราะห์ พบเซิร์ฟเวอร์บนอินเทอร์เน็ตที่อาจได้รับผลกระทบมากกว่า 22.6 ล้านเครื่อง
- มีคนเอาไปใช้โจมตีแล้ว: หน่วยงานความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ (CISA) เพิ่มช่องโหว่ทั้งสองตัวเข้าไปในรายชื่อ "ช่องโหว่ที่ทราบว่าถูกใช้โจมตีแล้ว" เมื่อวันที่ 26 ตุลาคม และแนะนำให้ปิดระบบที่ยังอัปเดตทันทีไม่ได้ไว้ก่อน
ผลกระทบจริงต่อเจ้าของเว็บ
ถ้าผู้โจมตีรันโปรแกรมบนเซิร์ฟเวอร์ได้แล้ว สิ่งที่มักเกิดตามมาคือ:
- เว็บถูกฝัง "ประตูหลัง" ไว้ ให้เข้ามาใหม่ได้ตลอดเวลา
- เว็บถูกแก้ให้พาคนไปเว็บหลอกลวงหรือเว็บพนัน
- ข้อมูลลูกค้าและสมาชิกที่ได้จากฟอร์มรั่วไหล
- เซิร์ฟเวอร์ถูกเอาไปส่งสแปมหรือขุดคริปโต จนผู้ให้บริการโฮสติ้งระงับบัญชีของคุณ
- Google ติดป้ายเว็บคุณว่าเป็น "เว็บอันตราย" ทั้งอันดับการค้นหาและความเชื่อใจของลูกค้าเสียหายไปพร้อมกัน
ที่น่าปวดหัวที่สุดคือ เว็บที่โดนเจาะอาจดูปกติทุกอย่าง กว่าจะรู้ตัวก็ผ่านไปหลายสัปดาห์แล้ว
เว็บแบบไหนต้องระวัง?
เว็บไหนก็ตามที่รัน PHP บนเซิร์ฟเวอร์ ต้องเช็กว่า PHP อัปเดตแล้ว ที่เจอบ่อยได้แก่:
มีสองกรณีที่ต้องระวังเป็นพิเศษ:
- PHP 8.1 หรือเก่ากว่านั้น: เวอร์ชันที่ PHP ออกแพตช์แก้แล้วคือ 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 เวอร์ชันก่อน 8.1 ไม่ได้รับการสนับสนุนอย่างเป็นทางการแล้ว และ CISA แนะนำให้ปิดระบบแบบนี้ไว้ก่อนจนกว่าจะอัปเดต ถ้าโฮสติ้งของคุณยังใช้เวอร์ชันเก่าอยู่ ก็ถึงเวลาอัปเกรดแล้ว
- ตัว WordPress เองก็มีช่องโหว่: ในเดือนเดียวกัน แกนหลักของ WordPress มีช่องโหว่อีกตัว (CVE-2026-87902) ที่ในบางเงื่อนไขก็อาจทำให้ผู้โจมตีรันโปรแกรมได้ และมีคนเอาไปใช้แล้ว ต้องอัปเดต WordPress เป็นเวอร์ชัน 7.1.2 ขึ้นไป
ถ้าเว็บของคุณใช้ PHP สิ่งที่ทำได้ตอนนี้
- ถามผู้ให้บริการโฮสติ้งหรือนักพัฒนา: "PHP ของเราอัปเดตเป็นเวอร์ชันที่แก้แล้วหรือยัง?" และขอเลขเวอร์ชันที่ชัดเจน
- อัปเดต WordPress เป็น 7.1.2 ขึ้นไป พร้อมอัปเดตปลั๊กอินและธีมด้วย
- ยังใช้ PHP 8.1 หรือเก่ากว่าอยู่: เช็กกับผู้ให้บริการโฮสติ้งว่าแก้แล้วหรือยัง ถ้ายัง ให้วางแผนอัปเกรด
- เช็กว่าเว็บมีอะไรผิดปกติไหม: มีบัญชีแอดมินที่ไม่รู้จักโผล่มา หน้าแรกถูกแก้ หรือ Google ขึ้นคำเตือนเว็บอันตราย
- เปลี่ยนรหัสผ่านสำคัญ: ถ้าสงสัยว่าเคยโดนเจาะ ให้เปลี่ยนรหัสผ่านหลังบ้านเว็บ โฮสติ้ง และฐานข้อมูลให้หมด
- อย่าลง "ปลั๊กอินแก้ช่องโหว่" ที่ไม่รู้ที่มา: วิธีแก้ที่ครบจริงมีทางเดียวคืออัปเดต PHP การปรับตั้งค่าที่แชร์กันบนอินเทอร์เน็ตแค่ช่วยลดความเสี่ยงเท่านั้น
ทำไมเว็บของ Cmini ไม่ได้รับผลกระทบครั้งนี้?
1. เว็บที่เผยแพร่ออกไป คือหน้าเว็บที่ทำเสร็จไว้ล่วงหน้า
เมื่อคุณกด "เผยแพร่" ใน Cmini แพลตฟอร์มจะทำทุกหน้าให้เป็นไฟล์หน้าเว็บที่สมบูรณ์ไว้ก่อน เวลาที่คนเปิดเว็บของคุณ เซิร์ฟเวอร์แค่ส่งไฟล์ที่ทำเสร็จแล้วออกไป ไม่ได้รัน PHP และไม่ได้รันโปรแกรมของเว็บเองเลย ต่อให้ผู้โจมตีส่งคำขอพิเศษมาเท่าไหร่ ก็ไม่มีโปรแกรมให้เจาะ
อยากรู้ว่าตอนเผยแพร่แพลตฟอร์มทำอะไรบ้าง อ่านได้ที่ กด "เผยแพร่" แล้วเกิดอะไรขึ้นบ้าง?
2. ทั้งแพลตฟอร์มไม่ได้ใช้ PHP เลย
ฟีเจอร์ที่ต้องใช้เซิร์ฟเวอร์ เช่น รับข้อมูลจากฟอร์มและระบบบทความ แพลตฟอร์ม Cmini เป็นผู้ดูแลให้ทั้งหมด ใช้ Java และ TypeScript ไม่มี PHP
3. ที่แก้เว็บแยกจากเว็บจริง
ตอนที่คุณแก้เว็บในตัวแก้ไข หรือให้ AI ของเว็บเขียนโค้ดให้ งานจะทำในสภาพแวดล้อมแก้ไขบนคลาวด์ที่แยกกันของแต่ละเว็บ แยกจากเว็บจริงที่คนทั่วไปเห็น
4. การอัปเดตเป็นหน้าที่ของแพลตฟอร์ม ไม่ใช่ของคุณ
คุณไม่ต้องรู้ว่าเว็บใช้เวอร์ชันอะไร หรือต้องอัปเดตตอนไหน เราเป็นคนดูแลการอัปเดตซอฟต์แวร์บนเซิร์ฟเวอร์เอง คุณไม่ต้องอัปเกรดอะไร และไม่ต้องลงปลั๊กอิน
พูดตามตรง: ไม่มี PHP ไม่ได้แปลว่าจะไม่มีปัญหาความปลอดภัยตลอดไป
ซอฟต์แวร์ทุกตัวมีช่องโหว่ได้ ซอฟต์แวร์ที่ Cmini ใช้ก็เช่นกัน สิ่งที่ต่างคือ:
- จุดที่โจมตีได้น้อยกว่า: เว็บจริงแค่ส่งไฟล์หน้าเว็บที่ทำเสร็จแล้ว ไม่ได้รันโปรแกรมทุกครั้งที่มีคนเข้าดู
- แพลตฟอร์มแก้ให้ทีเดียว: เมื่อมีช่องโหว่ เราอัปเดตครั้งเดียว ทุกเว็บก็ได้รับการปกป้องพร้อมกัน ไม่ต้องรอให้เจ้าของเว็บแต่ละคนลงมือเอง
- ถ้ามีปัญหาก็กู้คืนได้: ข้อมูลของแพลตฟอร์มถูกสำรองแบบเข้ารหัสทุกวัน และทุกครั้งที่เผยแพร่เว็บจะมีบันทึกไว้ ย้อนกลับไปเวอร์ชันก่อนหน้าได้ (ดู แก้พังก็ไม่ต้องกลัว)
คำถามที่พบบ่อย
ฉันใช้ WordPress ต้องย้ายเว็บทันทีเลยไหม?
ไม่ต้องรีบย้าย สิ่งสำคัญที่สุดคือให้ผู้ให้บริการโฮสติ้งหรือนักพัฒนาอัปเดต PHP และ WordPress ให้เรียบร้อยก่อน ถ้าคุณพบว่าตัวเองต้องคอยกังวลเรื่องอัปเดต ปลั๊กอิน และความปลอดภัยอยู่ตลอด และไม่อยากดูแลเรื่องพวกนี้อีกแล้ว ค่อยพิจารณาเปลี่ยนไปใช้แบบที่แพลตฟอร์มดูแลให้ Cmini ย้ายเว็บ WordPress เข้ามาได้
เว็บของฉันอยู่บนแพลตฟอร์มอย่าง Wix หรือ Shopify ต้องทำอะไรไหม?
บริการแบบนี้ที่แพลตฟอร์มดูแลเซิร์ฟเวอร์ให้ การอัปเดตเซิร์ฟเวอร์เป็นหน้าที่ของแพลตฟอร์ม ผู้ใช้ทั่วไปไม่ต้องอัปเดต PHP เอง ถ้ายังไม่สบายใจ ลองดูว่าแพลตฟอร์มที่คุณใช้มีประกาศเรื่องนี้หรือเปล่า
เว็บของ Cmini มีฟอร์ม แล้วฟอร์มไม่ต้องใช้เซิร์ฟเวอร์เหรอ?
ต้องใช้ ข้อมูลที่ส่งจากฟอร์มจะส่งไปให้แพลตฟอร์ม Cmini จัดการ ไม่ได้ใช้โปรแกรมบนเว็บของคุณ แพลตฟอร์มนี้เราดูแลและอัปเดตให้ทั้งหมด และไม่ได้ใช้ PHP
จะรู้ได้ยังไงว่าเว็บของฉันใช้ PHP หรือเปล่า?
ถ้าเว็บของคุณเป็น WordPress, Drupal, Joomla หรืออยู่บนโฮสติ้งทั่วไป (shared hosting) แทบจะแน่นอนว่าใช้ PHP ถ้าไม่แน่ใจ วิธีที่เร็วที่สุดคือถามคนที่ทำเว็บให้หรือผู้ให้บริการโฮสติ้งตรง ๆ
สรุป
PHP2Shell เป็นหนึ่งในช่องโหว่เว็บที่กระทบกว้างที่สุดในช่วงหลายปีมานี้ เพราะไม่เลือกเว็บ และไม่ต้องใช้รหัสผ่าน แค่ PHP ไม่ได้อัปเดตก็มีความเสี่ยงแล้ว ถ้าเว็บของคุณใช้ PHP วันนี้เลยให้ผู้ให้บริการโฮสติ้งหรือนักพัฒนาเช็กเวอร์ชัน
ถ้าคุณไม่อยากกังวลกับเรื่องแบบนี้อีก วิธีของ Cmini คือ: เผยแพร่เว็บเป็นหน้าเว็บที่ทำเสร็จไว้ล่วงหน้า แพลตฟอร์มดูแลการอัปเดตเซิร์ฟเวอร์ให้ คุณแค่ตั้งใจทำธุรกิจของคุณ
แหล่งข้อมูล
- หน่วยงานความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ CISA: Critical Vulnerabilities in PHP Require Immediate Patching (เผยแพร่ 21 ตุลาคม 2026 อัปเดต 26 ตุลาคม)
- Patchstack: Major security alert: PHP vulnerable to critical RCE
- Palo Alto Networks Unit 42: Threat Brief: CVE-2026-109618, CVE-2026-109619
- SiteGround: Critical PHP vulnerabilities: SiteGround sites protected
- CIS: A Vulnerability in WordPress Could Allow for Remote Code Execution (CVE-2026-87902)
ข้อมูลข้างต้นตรวจสอบเมื่อวันที่ 27 ตุลาคม 2026 สถานการณ์ด้านความปลอดภัยเปลี่ยนเร็วมาก โปรดยึดตามประกาศล่าสุดจาก PHP และผู้ให้บริการโฮสติ้งของคุณ