เมื่อวันที่ 21 ตุลาคม 2026 โครงการ PHP ประกาศแพตช์ฉุกเฉินแก้ช่องโหว่ร้ายแรง 2 รายการ คือ CVE-2026-109618 และ CVE-2026-109619 ซึ่งได้คะแนนความรุนแรง CVSS 9.2 ทั้งคู่ ผู้โจมตีสามารถสั่งรันโค้ดบนเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องล็อกอิน และ PHP ระบุว่าความเสี่ยงครอบคลุม ทุกเซิร์ฟเวอร์ PHP ที่ให้บริการเว็บ ไม่ว่าจะเป็น PHP-FPM, Apache + mod_php, php-cgi, FrankenPHP หรือ LiteSpeed
เกิดอะไรขึ้น
- CVE-2026-109618 — เมื่อหน่วยความจำไม่พอ (out-of-memory) ระบบอาจหยุดกลางคันขณะข้อมูลคำขอยังเตรียมไม่เสร็จ แล้วขั้นตอนเคลียร์ข้อมูลกลับนำข้อมูลที่เสียไปใช้ต่อ
- CVE-2026-109619 — สถานะภายในของคำขอก่อนหน้า "ค้าง" อยู่หลังหน่วยความจำถูกคืนไปแล้ว คำขอถัดไปที่ worker ตัวเดียวกันรับอาจหยิบข้อมูลค้างนั้นมาใช้
PHP ระบุว่า mod_php เสี่ยงที่สุด เพราะมีการสาธิตว่าคำขอเดียวที่ไม่ได้ล็อกอินสามารถจุดชนวนการโจมตีได้ก่อนโค้ดของแอปจะเริ่มทำงานด้วยซ้ำ ผลกระทบเห็นได้ทันที — ตามรายงานของ BBC ฟินแลนด์ปิดบริการเว็บภาครัฐชั่วคราว ส่วนสภาเมืองเอดินบะระและ BBC เองก็ปิดบางหน้าไว้ก่อน
AI เข้ามาเกี่ยวยังไง
OpenAI เปิดเผยว่าทีม Calif ค้นพบช่องโหว่ร้ายแรงหนึ่งรายการด้วยโมเดล GPT-5.6 Sol ภายใต้โครงการ Patch the Planet ขณะที่บริษัทความปลอดภัย Wiz ค้นพบและรายงานทั้งสองช่องโหว่ด้วยตัวเองโดยอิสระ ทีม PHP เป็นผู้นำการแก้ไข โดยมี Wiz, Cloudflare และพันธมิตรอื่นช่วยประสานงาน
OpenAI เรียกช่วงเวลานี้ว่า "Defender's Window" — AI ระดับแนวหน้าเจอช่องโหว่ก่อนผู้โจมตี ทำให้ฝ่ายป้องกันมีเวลาเตรียมแพตช์ก่อนเปิดเผยต่อสาธารณะ แต่ก็ยอมรับตรง ๆ ว่าความสามารถเดียวกันนี้อาจช่วยฝ่ายโจมตีสร้างเครื่องมือเจาะระบบได้เร็วขึ้นเช่นกัน
เวอร์ชันที่แก้แล้ว: 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 ส่วน PHP 8.1 และเก่ากว่าไม่ได้รับอัปเดตจากโครงการ PHP แล้ว ต้องพึ่งแพ็กเกจจากผู้ให้บริการ (distro/LTS vendor) และ PHP 8.2 จะหมดอายุ 31 ธันวาคม 2026
แปลว่าอะไรสำหรับเรา
เว็บไซต์ในไทยจำนวนมาก — ทั้ง WordPress, WooCommerce และระบบหลังบ้านที่เชื่อม LINE OA — รันบน PHP ถ้าคุณมีเว็บ ตอนนี้คือเวลาถามผู้ดูแลหรือโฮสติ้งว่า "อัปเดต PHP แล้วหรือยัง" PHP ย้ำว่า การอัปเดตคือทางแก้เดียวที่สมบูรณ์ มาตรการชั่วคราว เช่น จำกัดขนาดคำขอ หรือปิด session.upload_progress.enabled แค่ลดความเสี่ยงบางเส้นทาง ไม่ได้ทำให้ปลอดภัย
ถ้าใช้ shared hosting ให้ตรวจในแผงควบคุมว่า PHP เป็นเวอร์ชันที่แก้แล้ว ถ้ายังใช้ PHP 7.x หรือ 8.0/8.1 ควรวางแผนย้ายเวอร์ชันโดยเร็ว
ภาพใหญ่คือ เรากำลังเข้าสู่ยุคที่ AI ค้นช่องโหว่ได้เร็วกว่ามนุษย์ ซึ่งแปลว่ารอบการแพตช์จะถี่และเร่งด่วนขึ้น ธุรกิจที่ยังอัปเดตระบบ "ปีละครั้ง" จะเสี่ยงขึ้นเรื่อย ๆ
ช่องโหว่ PHP ระดับ 9.2 กระทบเว็บแทบทุกเว็บที่ใช้ PHP — อัปเดตทันที และเตรียมรับยุคที่ AI เร่งทั้งการค้นพบและการโจมตี