PHP คืออะไร และช่องโหว่ PHP2Shell กระทบเว็บของคุณไหม

ปลายเดือนตุลาคม 2026 มีการเปิดเผยช่องโหว่ร้ายแรงใน PHP ที่เรียกกันว่า PHP2Shell ซึ่งเปิดทางให้ผู้โจมตีควบคุมเซิร์ฟเวอร์เว็บได้จากระยะไกล หน่วยงานด้านความปลอดภัยไซเบอร์หลายประเทศออกคำเตือนให้อัปเดตทันที

บทความนี้สรุปให้เจ้าของธุรกิจเข้าใจง่าย ๆ ว่า PHP คืออะไร เกิดอะไรขึ้น และควรทำอะไรต่อ

PHP คืออะไร

PHP คือภาษาโปรแกรมที่ทำงานฝั่งเซิร์ฟเวอร์ คอยสร้างหน้าเว็บ ดึงข้อมูล และจัดการระบบหลังบ้าน เป็นหนึ่งในภาษาที่ใช้ทำเว็บมากที่สุดในโลก ตามข้อมูลของ W3Techs ประมาณ 69% ของเว็บไซต์ที่ทราบภาษาฝั่งเซิร์ฟเวอร์ใช้ PHP

เว็บที่คุณคุ้นเคยหลายเว็บทำงานบน PHP รวมถึงเว็บที่สร้างด้วย WordPress, Drupal และ Joomla รวมทั้งระบบหลังบ้านของโฮสติ้งอย่าง cPanel และ Plesk

เกิดอะไรขึ้น

วันที่	เหตุการณ์
23 ต.ค. 2026	PHP ออกคำแนะนำเพิ่มเติม ให้ปิด session.upload_progress ชั่วคราว
21 ต.ค. 2026	PHP ปล่อยเวอร์ชันที่แก้ไขแล้วแบบฉุกเฉิน และมีรายงานการโจมตีจริง
20 ต.ค. 2026	รายละเอียดช่องโหว่รั่วไหลก่อนกำหนดประกาศ
17 ต.ค. 2026	Amazon Threat Intelligence พบความพยายามโจมตีครั้งแรก ก่อนการเปิดเผย 4 วัน

ช่องโหว่มี 2 ตัว คือ CVE-2026-109618 และ CVE-2026-109619 ทั้งคู่ได้คะแนนความร้ายแรง 9.2 จาก 10 (CVSS v4.0)

ร้ายแรงแค่ไหน

ไม่ต้องล็อกอินก็โจมตีได้ ผู้โจมตีสั่งรันโค้ดบนเซิร์ฟเวอร์ได้จากระยะไกล เท่ากับควบคุมเซิร์ฟเวอร์ได้
กระทบ PHP ทุกตัวที่เปิดให้บริการเว็บ ไม่ว่าจะตั้งค่าแบบไหน และการปรับการตั้งค่าอย่างเดียวป้องกันได้ไม่ครบ
มีการโจมตีจริงแล้ว หน่วยงาน CERT-EU และ NCSC ของสหราชอาณาจักรถึงขั้นแนะนำให้ปิดเว็บชั่วคราวระหว่างรออัปเดต และเตือนเรื่องการฝังประตูหลัง (backdoor)
เวอร์ชันเก่าไม่มีตัวแก้อย่างเป็นทางการ PHP 7.4, 8.0 และ 8.1 มีเพียงตัวแก้แบบซอร์สโค้ด ส่วน 7.3 ลงไปไม่มีตัวแก้เลย

ถ้าเว็บของคุณใช้ PHP ควรทำอะไร

เช็กว่าเว็บใช้ PHP หรือไม่ ถามทีมพัฒนาหรือผู้ให้บริการโฮสติ้ง ถ้าเว็บทำด้วย WordPress แทบแน่นอนว่าใช้ PHP
อัปเดตเป็นเวอร์ชันที่แก้แล้วทันที ได้แก่ 8.2.35, 8.3.36, 8.4.27 หรือ 8.5.12 ตามสายที่ใช้อยู่
รีสตาร์ท PHP หลังอัปเดต ไม่อย่างนั้นตัวแก้อาจยังไม่ทำงาน
เวอร์ชันเก่าต้องอัปเกรด ถ้ายังใช้ PHP 8.1 หรือเก่ากว่า ถึงเวลาต้องย้ายไปเวอร์ชันที่ยังได้รับการดูแล
ถ้าอัปเดตทันทีไม่ได้ จำกัดการเข้าถึงจากอินเทอร์เน็ตไว้ก่อน
ตรวจหาร่องรอยการบุกรุก เพราะมีการโจมตีเกิดขึ้นก่อนที่ตัวแก้จะออก

นี่คือหนึ่งในเหตุผลที่เว็บไซต์ต้องมีคนดูแลต่อเนื่อง เว็บที่ไม่มีคนอัปเดต หรือใช้เทคโนโลยีเก่ามานาน คือเว็บที่เสี่ยงที่สุดในเหตุการณ์แบบนี้

เว็บที่ Celestial Code พัฒนา ไม่ได้รับผลกระทบจากช่องโหว่นี้

บริษัท เซเลสเทียล โค้ด จำกัด ไม่ได้ใช้ PHP ในการพัฒนาเว็บไซต์ เราพัฒนาระบบฝั่งเซิร์ฟเวอร์ด้วย Node.js (ดู Tech Stack ของเรา) เว็บไซต์ที่เราพัฒนาให้ลูกค้าจึงไม่ได้รับผลกระทบจาก PHP2Shell ลูกค้าของเราไม่ต้องกังวลเรื่องช่องโหว่ครั้งนี้ และเรายังคงดูแลและอัปเดตระบบของลูกค้าทุกรายอย่างต่อเนื่อง

ถ้าคุณมีเว็บไซต์หรือระบบอื่นที่ใช้ PHP และไม่แน่ใจว่าปลอดภัยหรือยัง ส่งรายละเอียดมาให้เรา ทีมจะตรวจฟรี พร้อมรายงานสรุปและข้อเสนอแนะ ติดต่อเรา

แหล่งอ้างอิง

PHP คืออะไร และช่องโหว่ PHP2Shell กระทบเว็บของคุณไหม

พร้อมสร้างอะไรดี ๆ ด้วยกันหรือยัง

PHP คืออะไร และช่องโหว่ PHP2Shell กระทบเว็บของคุณไหม

พร้อมสร้างอะไรดี ๆ ด้วยกันหรือยัง