โฮสต์ไทย 78% จะไม่ได้แพตช์ PHP คืนนี้: คุณอ่านข่าวหลุดถูกหรือยัง?

โดย Nokka (นก-กา) | นักเขียนอิสระสาย AI และระบบเปิด | ตรวจสอบข้อมูล ณ 21 ต.ค. 2026

บทความนี้เขียนโดย AI (deepseek-v4.1-flash · ผู้ให้บริการโมเดล: ollama-cloud) ผ่าน Hermes Agent ภายใต้การควบคุมและตรวจสอบคุณภาพโดยมนุษย์ - Nokka (นก-กา)

ตัวเลขที่คนไทยควรเห็นก่อนสามทุ่ม

จาก 18,701 โฮสต์ในประเทศไทยที่มีการประกาศเวอร์ชัน PHP ออกมาบนอินเทอร์เน็ต มี 14,619 โฮสต์ หรือ 78 เปอร์เซ็นต์ ที่รัน PHP 8.1 หรือเก่ากว่า ซึ่งจะไม่ได้รับแพตช์ใด ๆ [2]

ตัวเลขนี้มาจากการนับของบริษัท Mallory ที่ตรวจแบนเนอร์ HTTP ผ่าน Shodan [2]

และมันสำคัญเพราะคืนนี้เวลา 21:00 ตามเวลาไทย PHP จะปล่อยแพตช์แก้ช่องโหว่สองรายการที่ให้คะแนน CVSS v4.0 ไว้ 9.2 ทั้งคู่ [1] แต่แพตช์นั้นจะไปไม่ถึง 14,619 โฮสต์นี้

ข่าวช่วงทั้งวันถูกพูดถึงในแง่ "รีบแพตช์ให้ทัน" ซึ่งถูก แต่คำถามที่ตรงกับคนอ่านไทยกว่าคือ ถ้าเว็บของคุณอยู่ในกลุ่มที่ไม่มีอะไรให้ติดตั้ง จะทำอะไรคืนนี้

ค่าเฉลี่ยของโลกอยู่ที่ 59 เปอร์เซ็นต์ [2]

แปลว่าประเทศไทยอยู่ในกลุ่มที่แย่กว่าค่าเฉลี่ยเกือบยี่สิบจุด

ตัวเลขนี้หมายถึงอะไร และไม่หมายถึงอะไร

Mallory อธิบายวิธีนับชัดเจนว่าเป็นการดูแบนเนอร์ HTTP ที่ประกาศเวอร์ชัน PHP ผ่าน Shodan ไม่ใช่การยืนยันว่าเครื่องนั้นมีช่องโหว่จริง [2] [4]

ตัวเลขที่ควรรู้คู่กันคือ

• 1.5 ล้านโฮสต์ทั่วโลกที่ประกาศเวอร์ชันออกมา
• 883,717 โฮสต์ หรือ 59 เปอร์เซ็นต์ อยู่บน 8.1 หรือเก่ากว่า
• และมีอีก 740,000 โฮสต์ที่ประกาศว่าใช้ PHP แต่ไม่บอกเวอร์ชัน ซึ่งนับรวมไม่ได้ [4]

ข้อจำกัดที่ผมอยากย้ำคือ 78 เปอร์เซ็นต์ของไทยวัดจากโฮสต์ที่ยอมเปิดเผยรุ่นของตัวเอง ไม่ใช่จากเว็บไทยทั้งหมด

และโฮสต์ที่ระวังตัวอาจเลือกปิดข้อมูลนี้ไปแล้ว ซึ่งทำให้สัดส่วนจริงต่างออกไปได้ทั้งสองทาง

แต่ตัวเลขนี้ก็ยังบอกอะไรได้อย่างหนึ่ง คือในกลุ่มที่เปิดเผยตัว มันมีสัดส่วนสูงมากที่อยู่บนรุ่นเก่า

เพื่อนบ้านเราอยู่ตรงไหน

จากรายการเดียวกันของ Mallory [2]

• เกาหลีใต้ 82 เปอร์เซ็นต์ จาก 30,102 โฮสต์
• กัมพูชา 79 เปอร์เซ็นต์ จาก 2,918 โฮสต์
• ไทย 78 เปอร์เซ็นต์ จาก 18,701 โฮสต์
• เวียดนาม 62 เปอร์เซ็นต์ จาก 10,183 โฮสต์
• สหรัฐ 54 เปอร์เซ็นต์ จาก 424,478 โฮสต์
• อินเดีย 53 เปอร์เซ็นต์ จาก 37,172 โฮสต์

และประเทศที่แย่ที่สุดในรายการคือแอลจีเรียที่หน้าเว็บปัดเป็น 100 เปอร์เซ็นต์ หรือ 31,306 จาก 31,447 โฮสต์ [2]

ผมเห็นตัวเลขชุดนี้แล้วคิดว่าเรื่องนี้ไม่ใช่ปัญหาขององค์กรใหญ่ที่มีทีมดูแลระบบ แต่เป็นปัญหาของโฮสติ้งราคาถูกที่ล็อก PHP ไว้รุ่นเก่าเพราะกลัวเว็บลูกค้าพัง

สามจุดที่ข่าวหลุดทำให้เข้าใจผิด

จุดที่ 1 คะแนน 9.2 กับ 10.0

โพสต์บน Hacker News เมื่อวันที่ 20 ตุลาคมบอกว่าเป็นช่องโหว่ระดับ 10.0 [3]

แต่ประกาศของ PHP ระบุ 9.2 ตามมาตรฐาน CVSS v4.0 [1] และ The Hacker News ระบุชัดว่า ตัวเลข 10.0 เป็นของสายลือ ไม่ใช่ของ PHP [4]

จุดที่ 2 ช่วงเวอร์ชันที่กระทบ ยังไม่ยืนยัน

หลายสำนักเขียนว่า "กระทบ PHP ตั้งแต่ 5 ขึ้นไป" จนกลายเป็นความเชื่อกันไปแล้ว

แต่ The Hacker News ระบุว่า แม้แต่ FAQ ของ watchTowr เองก็เขียนว่าขอบเขตนี้ "ยังไม่ได้รับการยืนยันจากคำแนะนำของผู้ผลิตอย่างเป็นทางการ" และยังไม่มีคำอธิบายว่าต้องมีเงื่อนไขการตั้งค่าหรือฟีเจอร์อะไรจึงจะโดน [4]

Huntress เขียนทำนองเดียวกันว่าเวอร์ชันที่กระทบและเวอร์ชันที่แก้แล้ว ยังไม่ได้รับการยืนยัน [5]

ตัวเลข 78 เปอร์เซ็นต์ของไทยจึงเป็นตัวเลขของ "โฮสต์ที่อยู่บนรุ่นซึ่งจะไม่ได้แพตช์" ไม่ใช่ "โฮสต์ที่ยืนยันแล้วว่าโดน"

จุดที่ 3 รหัส CVE ไม่ได้มาจาก PHP

รหัส CVE-2026-109618 และ CVE-2026-109619 มาจากโพสต์ที่หลุดมา ส่วน ประกาศของ PHP ไม่ได้ระบุรหัสใดเลย [4]

ผมลองค้นรหัสทั้งสองใน NVD เมื่อเช้านี้และไม่พบข้อมูลทั้งคู่ [9]

สี่ชั่วโมงที่ข้อมูลวิ่งก่อนแพตช์

ไทม์ไลน์ที่ผมเรียงจากสองแหล่งคือ

วันที่ 20 ตุลาคม เวลาราว 15:20 UTC มีโพสต์บน Hacker News ระบุว่ากำหนดเปิดเผยคือวันที่ 22 ตุลาคม และให้คะแนน 10.0 โดยเจ้าของโพสต์เองยอมรับว่าไม่มีหลักฐาน [3] [4]

ต่อมา watchTowr โพสต์บน X ตอน 18:26 UTC ยืนยันว่าข้อมูลที่หลุดเป็นของจริง และบอกว่าทุกคนควรจะรอถึงวันพฤหัสบดี [6]

และในคืนเดียวกันนั้นเอง PHP ออกประกาศเวลา 19:33 UTC กำหนดวันพุธ ซึ่งเร็วกว่าวันที่ watchTowr บอกหนึ่งวัน [4]

จากโพสต์แรกถึงประกาศของ PHP ห่างกัน 4 ชั่วโมง 12 นาที

ผมอ่านลำดับนี้แล้วเข้าใจว่า ประกาศของ PHP ออกมาเพราะข้อมูลหลุด ไม่ใช่เพราะมีคนค้นพบช่องโหว่ใหม่ และนั่นทำให้กำหนดเวลาที่ทุกคนจำได้นั้นสั้นลงหนึ่งวัน

นี่เป็นการตีความของผมจากลำดับเวลา ไม่ใช่ถ้อยแถลงของ PHP

ทำไม 8.1 ถึงไม่มีวันได้แพตช์

เพราะ PHP ปล่อยแพตช์ให้เฉพาะ branch ที่ยังอยู่ในช่วงสนับสนุน ซึ่งตอนนี้มีสี่ตัวคือ 8.2, 8.3, 8.4 และ 8.5 [7]

The Hacker News สรุปไว้ตรง ๆ ว่า ทุกอย่างที่เก่ากว่านั้น รวมถึง 8.1, 8.0, 7.x และ 5.x ถือว่าหมดอายุและจะไม่ได้รับแพตช์จาก PHP [4]

หน้า EOL ของ php.net แสดงรุ่นเก่าไว้ครบ พร้อมวันหมดอายุ เช่น 5.0 หมด support ไปตั้งแต่ 5 กันยายน 2005, 5.4 หมด 3 กันยายน 2015 และ 5.6 หมด 31 ธันวาคม 2018 [8]

ส่วน Mallory เขียนว่าเวอร์ชันที่กระทบย้อนไปถึงปี 2004 [2]

ผมเปิดบันทึกการเปลี่ยนแปลงของ PHP เองและเห็นว่าเวอร์ชัน 5.0.0 ออกเมื่อวันที่ 13 กรกฎาคม 2004 [12] ซึ่งตรงกับปีที่ Mallory อ้าง

ส่วนรุ่นที่เก่าที่สุดในตาราง EOL คือ 3.0 ซึ่งหมดไปตั้งแต่ปี 2000 [8]

ถ้าคุณอยู่ใน 14,619 โฮสต์นั้น

The Hacker News รวบรวมทางเลือกไว้สามทาง คืออัปเกรดขึ้น branch ที่ยังได้รับการสนับสนุน ตัดเครื่องออกจากอินเทอร์เน็ต หรือวางไว้หลัง VPN หรือ WAF จนกว่าจะย้ายได้ [4]

และถ้าตัดออกจากอินเทอร์เน็ตไม่ได้จริง ๆ คำแนะนำของ CERT-EU ก็ยังใช้ได้ คือให้พิจารณาแยกแอปที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายสาธารณะจนกว่าจะมีแพตช์ [10]

อีกทางที่หลายคนลืมคือ ถามผู้ให้บริการโฮสติ้งหรือผู้จำหน่ายลินุกซ์ของคุณเรื่อง backport เพราะบางรายดูแลโค้ดรุ่นเก่าเองแยกจาก php.net [4]

แต่ผมยังไม่พบประกาศจากผู้จำหน่ายรายใดที่ยืนยันว่าจะ backport ช่องโหว่ชุดนี้ให้ ต้องรอหลังแพตช์ออกก่อน

สำหรับธุรกิจไทยที่ฝากเว็บไว้กับโฮสติ้ง ผมคิดว่าคำถามที่ต้องส่งไปหาผู้ให้บริการวันนี้มีสองข้อ คือเว็บของเรารัน PHP รุ่นไหน และถ้าเป็นรุ่นที่หมดอายุแล้ว มีแผนย้ายเมื่อไหร่

หลังแพตช์ออก ต้องดูอะไรต่อ

ถ้าคุณแพตช์ทัน งานยังไม่จบ เพราะช่องโหว่ประเภทนี้มักถูกใช้ก่อนที่คนส่วนใหญ่จะอัปเดตเสร็จ

The Hacker News แนะนำให้เฝ้าดูว่า PHP ไปเรียกโปรแกรมอะไรบ้าง โดยให้แจ้งเตือนเมื่อ php-fpm, php-cgi, httpd หรือ apache2 ไปเรียกเชลล์ ตัวแปลภาษา หรือเครื่องมือดาวน์โหลด [4]

เครื่องมือที่ช่วยเรื่องนี้คือ process-watcher ของ Florian Roth ซึ่งบันทึกทุกโปรแกรมที่โปรเซส PHP เรียก พร้อมบรรทัดคำสั่ง [4] [11]

ข้อจำกัดที่เจ้าของเครื่องมือเขียนเองคือ มันเห็นโปรแกรมหลังเริ่มทำงานแล้ว และไม่ได้ป้องกันอะไรเลย [4]

ถ้าตรวจพบสิ่งผิดปกติ ให้แยกเซิร์ฟเวอร์ออกก่อน แล้วเก็บ log ของเว็บเซิร์ฟเวอร์และ PHP ไว้ จากนั้นหาสิ่งที่มักถูกทิ้งไว้ คือ web shell, ไฟล์ใหม่ในโฟลเดอร์เว็บ, cron job ใหม่, scheduled task ใหม่ และบัญชีผู้ใช้ใหม่ [4]

ตัวอย่างคำสั่งเบื้องต้นที่ช่วยดูว่าโปรเซส PHP มีลูกอะไรผิดปกติ

ps -eo pid,ppid,user,cmd | grep -E "php-fpm|php-cgi|httpd|apache2"

คำสั่งนี้เป็นเพียงการดูภาพรวม ไม่ใช่ระบบแจ้งเตือน แค่ช่วยให้คุณเห็นว่ามีอะไรแปลกตาไหม

บทเรียนจากปี 2024

The Hacker News ยกกรณี CVE-2024-4577 ซึ่งเป็นช่องโหว่ใน PHP โหมด CGI บนวินโดวส์ที่เปิดเผยในเดือนมิถุนายน 2024

Akamai พบความพยายามโจมตีเซิร์ฟเวอร์ honeypot ของตัวเอง ภายใน 24 ชั่วโมง หลังช่องโหว่เปิดเผย [4]

ผมยกกรณีนี้มาเพราะมันตอบคำถามที่หลายคนถามว่า "ต้องรีบขนาดนั้นเลยหรือ" คำตอบคือรีบ เพราะมีคนรออยู่แล้ว

หลักฐานที่ผมเปิดด้วยตัวเอง และสิ่งที่ยังยืนยันไม่ได้

ผมอ่านบทความของ The Hacker News ฉบับวันที่ 21 ตุลาคม เต็มทั้งฉบับ และตามไปเปิดต้นทางที่มันอ้างถึง [4]

ผมเปิดงานของ Mallory อ่านวิธีนับและตัวเลขรายประเทศจากต้นฉบับ รวมถึงบรรทัดของประเทศไทยที่เขียนว่า 78 เปอร์เซ็นต์ จาก 18,701 โฮสต์ [2]

ผมเปิดงานของ Huntress ฉบับวันที่ 21 ตุลาคม และอ่านข้อความที่ระบุว่าเวอร์ชันที่กระทบยังไม่ยืนยัน [5]

ผมเปิดหน้า EOL และหน้า supported versions ของ php.net เพื่อตรวจวันหมดอายุของรุ่นเก่าและดูว่าเหลือ branch ไหน [7] [8]

ผมเปิดคลังของ process-watcher บน GitHub เพื่อยืนยันว่ามีอยู่จริงและมีผู้ดูแลชื่อ Neo23x0 [11]

สิ่งที่ผมยังไม่ได้ตรวจ ผมไม่มีทางเข้าถึงข้อมูลดิบของ Shodan เพื่อนับโฮสต์เอง ตัวเลข 78 เปอร์เซ็นต์จึงเป็นตัวเลขของ Mallory ไม่ใช่ของผม

ผมยังไม่เห็นรายละเอียดทางเทคนิคของช่องโหว่ เพราะยังไม่ถูกเปิดเผย ณ เวลาที่เขียน

และผมยังไม่ยืนยันว่าขอบเขต "ตั้งแต่ PHP 5 ขึ้นไป" เป็นจริง เพราะแหล่งที่เป็นทางการที่สุดที่ผมเข้าถึงได้ยังไม่ระบุ

คำถามที่ผมฝากไว้คืนนี้

ถ้าเว็บของคุณอยู่ใน 14,619 โฮสต์นั้น คุณรู้แล้วหรือยังว่าคืนนี้จะทำอะไร

เพราะสำหรับกลุ่มนี้ คำถามไม่ใช่ "แพตช์เสร็จกี่โมง" แต่เป็น "จะย้ายออกจากเวอร์ชันนี้ได้เมื่อไหร่"

แหล่งอ้างอิง

[1] The PHP Development Team, "Upcoming Critical PHP Security Release", php.net News Archive, 20 ต.ค. 2026 (กำหนด 21 ต.ค. 2026 เวลา 14:00 UTC · CVSS v4.0 9.2 ทั้งสองรายการ · สงวนสิทธิ์ปล่อยก่อน). https://www.php.net/archive/2026.php#2026-10-20-1

[2] Jonathan Cran, "PHP RCE in 8.5 and Earlier: CVE-2026-109618 and CVE-2026-109619", Mallory, 20 ต.ค. 2026 (1.5 ล้านโฮสต์ที่ประกาศเวอร์ชัน · 883,717 โฮสต์ หรือ 59 เปอร์เซ็นต์ อยู่บน 8.1 หรือเก่า · ไทย 78 เปอร์เซ็นต์ จาก 14,619 ใน 18,701 โฮสต์ · กัมพูชา 79 จาก 2,918 · เวียดนาม 62 จาก 10,183 · เกาหลีใต้ 82 จาก 30,102 · อินเดีย 53 จาก 37,172 · สหรัฐ 54 จาก 424,478 · แอลจีเรีย 100 จาก 31,447 · วิธีนับจากแบนเนอร์ HTTP ผ่าน Shodan). https://mallory.ai/blog/php-rce-rapid-response

[3] petecooper, "Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming", Hacker News, 20 ต.ค. 2026 เวลาราว 15:20 UTC (ระบุกำหนด 22 ต.ค. 18:00 CEST · คะแนน 10.0 · เจ้าของโพสต์ยอมรับว่าไม่มีหลักฐาน). https://news.ycombinator.com/item?id=50167754

[4] Swati Khandelwal, "PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert", The Hacker News, 21 ต.ค. 2026 (ประกาศ PHP เวลา 19:33 UTC · 10.0 เป็นตัวเลขของสายลือ · FAQ ของ watchTowr ระบุขอบเขตยังไม่ยืนยัน · ประกาศ PHP ไม่ระบุรหัส CVE · 8.1 และเก่าไม่ได้รับแพตช์ · 740,000 โฮสต์ไม่บอกเวอร์ชัน · แนะนำการเฝ้าดูโปรเซสลูก · กรณี CVE-2024-4577 ที่ Akamai เห็นการโจมตีใน 24 ชั่วโมง). https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html

[5] John Hammond, "Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities", Huntress, 21 ต.ค. 2026 (เวอร์ชันที่กระทบและเวอร์ชันที่แก้ยังไม่ยืนยัน · watchTowr พิสูจน์ CVE-2026-109618 ได้ · ยังไม่พบการโจมตีในสภาพแวดล้อมของพันธมิตร ณ 20 ต.ค.). https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

[6] watchTowr, โพสต์บน X, 20 ต.ค. 2026 เวลา 18:26 UTC (ยืนยันว่าข้อมูลหลุดเป็นของจริง · กำหนดเดิมวันพฤหัสบดี). https://x.com/watchtowrcyber/status/2112611507749982605

[7] The PHP Group, "Supported Versions", php.net, สืบค้น 21 ต.ค. 2026 (8.2 · 8.3 · 8.4 · 8.5). https://www.php.net/supported-versions.php

[8] The PHP Group, "Unsupported Branches", php.net, สืบค้น 21 ต.ค. 2026 (5.0 หมด 5 ก.ย. 2005 · 5.4 หมด 3 ก.ย. 2015 · 5.6 หมด 31 ธ.ค. 2018 · 3.0 หมด 20 ต.ค. 2000). https://www.php.net/eol.php

[9] NIST, National Vulnerability Database, ผลค้นหา CVE-2026-109618 และ CVE-2026-109619, สืบค้น 21 ต.ค. 2026 (ไม่พบรายการทั้งสองรหัส). https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-109618

[10] CERT-EU, "Critical Vulnerabilities in PHP", Security Advisory 2026-018, 21 ต.ค. 2026 v1.0 (แนะนำให้พิจารณาแยกแอปที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายจนกว่าจะแก้ได้). https://cert.europa.eu/publications/security-advisories/2026-018/pdf

[11] Florian Roth, "process-watcher", GitHub, สืบค้น 21 ต.ค. 2026 (เครื่องมือเฝ้าดูโปรเซสเพื่อตรวจจับการโจมตี). https://github.com/Neo23x0/process-watcher

[12] The PHP Group, "PHP 5 ChangeLog", php.net, สืบค้น 21 ต.ค. 2026 (Version 5.0.0 ออก 13 ก.ค. 2004). https://www.php.net/ChangeLog-5.php