ซึ่งกระทบทั้งเว็บไซต์สายการบิน ระบบโครงสร้างพื้นฐาน และฐานข้อมูลของรัฐบาลในหลาย ๆ ประเทศ วิกฤตช่องโหว่ของ PHP2Shell คืออะไร แล้วทำไมถึงเป็นหนึ่งในวิกฤตครั้งใหญ่ของระบบอินเทอร์เน็ตที่ต้องได้รับการแก้ไขเร่งด่วน
ภาษา PHP คืออะไร
PHP (Hypertext Preprocessor) คือภาษาโปรแกรมที่ทำงานอยู่บนเครื่องเซิร์ฟเวอร์ (server-side scripting) เป็นภาษาของระบบประมวลผลหลังบ้านของหน้าเว็บไซต์ทั่วโลกกว่า 70% รวมถึงระบบจัดการเนื้อหา (CMS) อย่าง WordPress ด้วย เว็บทั่วไปที่ไม่มีการโต้ตอบ (static web) จะแสดงเพียงโค้ด HTML ธรรมดา แต่เมื่อเว็บไซต์ต้องการฟังก์ชันที่ซับซ้อน (dynamic web) เช่น ระบบล็อกอิน การดึงข้อมูลจากฐานข้อมูล หรือระบบตะกร้าสินค้า เซิร์ฟเวอร์จะใช้ภาษา PHP เป็นตัวรับข้อมูลจากผู้ใช้งาน นำไปคำนวณหรือค้นหาในฐานข้อมูล แล้วจึงส่งผลลัพธ์กลับไปแสดงผลบนหน้าจอของผู้ใช้งาน
ตามปกติผู้ใช้งานเว็บจะไม่มีทางเข้าถึงโครงสร้างระบบปฏิบัติการหลังบ้านหรือภาษา PHP ของเว็บไซต์นั้น ๆ ได้เลย แต่ช่องโหว่ PHP ที่พบและเกิดขึ้นนี้มันได้เปิดช่องทางให้แฮกเกอร์ใช้ช่องทางการส่งข้อมูลผ่านหน้าเว็บ (เช่น ฟอร์มกรอกข้อมูล หรือระบบอัปโหลด) เพื่อเจาะทะลุระบบของ PHP และเข้าไปยึดสิทธิ์การควบคุมเครื่องเซิร์ฟเวอร์นั้นได้ กระบวนการนี้เรียกว่า Remote Code Execution หรือ RCE
ปัญหาที่เกิดขึ้นไม่ได้เป็นเพียงข้อผิดพลาดในการเขียนโค้ดทั่วไป แต่เป็นช่องโหว่ระดับสถาปัตยกรรม คือ CVE-2026-109618 และ CVE-2026-109619 ที่เปิดทางให้ผู้ไม่ประสงค์ดีสั่งการได้จากระยะไกล การใช้ช่องโหว่นี้ต้องอาศัยความล้มเหลวในการจัดการหน่วยความจำ เมื่อแฮกเกอร์ส่ง HTTP Request ที่มีขนาดใหญ่หรือซับซ้อนเกินกว่ากำหนด ระบบจะเกิดภาวะ Out-of-Memory (OOM) ในจังหวะที่ตัวแปรเพิ่งเริ่มถูกสร้างแต่ยังไม่สมบูรณ์ กระบวนการทำความสะอาด (cleanup routine) ของ PHP เกิดความสับสน ผนวกกับช่องโหว่ที่ทำให้สถานะการทำงาน (global state) เดิมไม่ถูกล้างทิ้ง ส่งผลให้คำสั่งถัดไปสามารถเข้าถึงหน่วยความจำเดิมที่มีโค้ดอันตรายฝังอยู่ได้ การใช้ช่องโหว่สองจุดนี้ทำให้ผู้ไม่หวังดีสามารถยึดเซิร์ฟเวอร์ได้ทันทีโดยไม่ต้องผ่านกระบวนการยืนยันตัวตน
ไล่เรียงวิกฤต PHP
หากไล่เรียงตามช่วงเวลาของเหตุการณ์วิกฤตที่เกิดขึ้นนี้ต้องย้อนกลับไปในปี 2024 นักวิจัยจาก PHP Foundation พบจุดอ่อนทางทฤษฎีในโครงสร้างของ PHP แต่ยังไม่มีใครรู้วิธีนำช่องโหว่นี้ไปใช้โจมตีจริง ก่อนที่ในช่วงเดือนกรกฎาคม 2026 PHP Foundation นำ AI จาก OpenAI เข้ามาช่วยตรวจสอบโค้ด และพบว่าจุดอ่อนดังกล่าวสามารถใช้เจาะระบบได้จริง ทีมงานจึงซุ่มพัฒนาแพตช์และเตรียมปล่อยในช่วงปลายเดือนตุลาคม แต่ในวันที่ 20 ตุลาคม นักวิจัยด้านความปลอดภัยเกิดพลาดทำวิดีโอสาธิตวิธีเจาะระบบหลุดลงโซเชียลมีเดีย แฮกเกอร์จึงนำข้อมูลไปใช้ AI สร้างโค้ดสำหรับโจมตีทันที และในวันถัดมา Cloudflare ตรวจพบการโจมตีจริงครั้งแรกก่อนแพตช์จะออกหลายชั่วโมง ทำให้ผู้พัฒนา PHP ต้องเข็นแพตช์ฉุกเฉินออกมา ขณะที่เว็บไซต์หน่วยงานรัฐและสาธารณสุขในยุโรปหลายแห่งต้องสั่งระงับบริการทันทีเพื่อป้องกันระบบถูกเจาะ ก่อนที่สถานการณ์จะลุกลามเป็นความวุ่นวายระดับโลก องค์กรขนาดใหญ่ตั้งแต่สภาท้องถิ่น ไปจนถึงธนาคารและสายการบินในญี่ปุ่น ต้องปิดระบบออนไลน์และระงับบริการดิจิทัลชั่วคราวเพื่อเร่งอุดช่องโหว่
วิกฤตนี้ทำให้ผู้นำในหลายประเทศต้องออกมาตรการฉุกเฉินและแถลงการณ์อย่างเร่งด่วน เพื่อควบคุมความตื่นตระหนก เว็บไซต์ของหน่วยงานรัฐบาลหลายประเทศไม่สามารถใช้งานได้ ขณะที่หน่วยงานความมั่นคงระดับชาติ เช่น NSA ของสหรัฐอเมริกา และ CERT ของอินเดีย ต้องออกประกาศเตือนภัยฉุกเฉินให้ผู้ดูแลระบบระงับการเชื่อมต่ออินเทอร์เน็ตหากยังไม่สามารถอัปเดตแพตช์ได้ สถานการณ์ของการแฮกนี้สร้างความตื่นตระหนกและผลกระทบต่อเศรษฐกิจอย่างรุนแรงในหลาย ๆ ด้าน ซานาเอะ ทาคาอิจิ นายกรัฐมนตรีญี่ปุ่น ได้โพสต์ข้อความบนแพลตฟอร์ม X เพื่อเรียกร้องให้เจ้าของเว็บไซต์ทั่วประเทศเร่งตรวจสอบและติดตั้งแพตช์ทันที ขณะที่ ศ. ดร.ยศชนัน วงศ์สวัสดิ์ รัฐมนตรีว่าการกระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม (อว.) ได้สั่งการด่วนให้หน่วยงานในสังกัด เร่งตรวจสอบและอัปเกรดระบบที่ใช้ PHP ทันที
หนี้สินทางเทคโนโลยี
ซึ่งวิกฤตทั้งหมดทั้งมวลนี้เกิดจากสิ่งที่เรียกว่าหนี้สินทางเทคโนโลยี (technological debt) รากฐานของ PHP พัฒนาขึ้นด้วยภาษา C ซึ่งแม้จะให้ประสิทธิภาพสูง แต่ผู้พัฒนาต้องบริหารจัดการหน่วยความจำด้วยตนเอง โค้ดชุดนี้มีความซับซ้อนระดับลึกและทำงานได้ตามปกติมาโดยตลอด จนกระทั่งมีการนำ AI เข้ามาช่วยตรวจสอบความปลอดภัยและคุณภาพโค้ด (code auditing) จึงพบว่าจุดอ่อนทางทฤษฎีนี้สามารถนำมาใช้โจมตีได้จริง ความล่าช้าไม่ได้เกิดจากการเพิกเฉย แต่เกิดจากความยากในการรื้อโครงสร้างโค้ดดั้งเดิม (legacy code) โดยไม่ให้กระทบกับระบบที่ใช้งานอยู่ทั่วโลก เมื่อข้อมูลการสาธิตหลุดออกสู่สาธารณะก่อนแพตช์แก้ไขจะพร้อม AI จึงถูกแฮกเกอร์นำมาใช้เป็นเครื่องมือวิศวกรรมย้อนกลับเพื่อระบบที่ใช้ในการแฮกได้ภายในเวลาไม่กี่ชั่วโมง
เมื่อช่องโหว่เกิดขึ้นมาแต่การอุดช่องโหว่ยังตามไม่ทันนี้ สิ่งนี้ทำให้กลายเป็นสงคราม AI ระหว่างนักพัฒนากับแฮกเกอร์ ที่แม้ AI จะช่วยให้นักวิจัยค้นพบช่องโหว่นี้ที่ซ่อนมานานกว่าสิบปี แต่แฮกเกอร์ก็นำ AI มาใช้วิเคราะห์ย้อนกลับเพื่อสร้างโค้ดโจมตีได้อย่างรวดเร็วเช่นกัน ทำให้เกิดการโจมตีเป็นวงกว้างก่อนที่ผู้ดูแลระบบจะอัปเดตระบบได้ทัน
ผลกระทบที่แท้จริง
แม้ 70% ของเว็บไซต์ทั่วโลกจะใช้ภาษา PHP แต่ไม่ได้หมายความว่าทุกระบบจะตกอยู่ในความเสี่ยง ระบบที่เป็น Static website (HTML/CSS) หรือสถาปัตยกรรมที่ไม่ได้ใช้ PHP ประมวลผลฝั่งเซิร์ฟเวอร์ ไม่ได้รับผลกระทบจากเหตุการณ์นี้ กลุ่มที่ตกอยู่ในสถานการณ์ฉุกเฉินวิกฤตคือ Dynamic web application ที่มีการประมวลผลข้อมูลขาเข้าจากผู้ใช้งาน เช่น การรับส่งข้อมูลผ่านฟอร์ม (HTTP POST) ระบบอัปโหลดไฟล์ และแพลตฟอร์มที่เชื่อมต่อกับฐานข้อมูลขนาดใหญ่ ซึ่งครอบคลุมถึงระบบสารสนเทศของรัฐ ทะเบียนราษฎร โรงพยาบาล และระบบบริหารจัดการระดับองค์กร
เมื่อระบุปัญหาช่องโหว่และขอบเขตได้แล้วบริษัทเซิร์ฟเวอร์เจ้าใหญ่ของโลกไม่ว่าจะเป็น Cloudflare, Google, Amazon Web Server และบริษัทด้านความปลอดภัย ได้พยายามป้องกันโดยการปล่อยกฎตรวจจับพฤติกรรมน่าสงสัยเพื่อบล็อกรูปแบบการโจมตีจากแฮกเกอร์ที่พยายามเจาะระบบผ่าน HTTP Request ทันที
ภาระในการระงับเหตุครั้งนี้ตกอยู่กับบุคลากรด้านโครงสร้างพื้นฐาน ทั้งวิศวกรระบบ (system administrators) ทีมนักพัฒนา ผู้ให้บริการคลาวด์ และศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ (CERT) ที่ต้องทำงานแข่งกับเวลาจังหวะที่โดนโจมตีผ่านช่องโหว่ที่ไม่เคยปรากฏมาก่อน (zero-day exploit) การที่ผู้ดูแลระบบบางหน่วยงานตัดสินใจระงับบริการสาธารณะ หรือตั้งค่า Web application firewall (WAF) บล็อกข้อมูลที่ผิดปกติอย่างฉับพลัน ทั้งหมดไม่ใช่ความบกพร่องในการให้บริการ แต่เป็นการป้องกันไม่ให้ข้อมูลส่วนบุคคลและข้อมูลความเป็นส่วนตัวที่สำคัญหลุดออกไป
วิกฤต PHP ในครั้งนี้เป็นสัญญาณเตือนที่ชัดเจนว่า โครงสร้างพื้นฐานดิจิทัลที่เปราะบางไม่สามารถรองรับภัยคุกคามในยุคที่ AI เป็นหนึ่งในเครื่องมือของสงครามไซเบอร์ได้อีกต่อไป เหตุการณ์นี้ชวนให้ตั้งคำถามถึงทิศทางในอนาคต ว่าถึงเวลาหรือยังที่องค์กรและภาครัฐจะต้องทบทวนยุทธศาสตร์การพัฒนาซอฟต์แวร์ การผลักดันไปสู่การใช้ภาษาโปรแกรมที่ปลอดภัย การเปลี่ยนผ่านออกจากระบบเก่าที่อาจเป็นหนี้ทางเทคโนโลยี รวมถึงการลงทุนในระบบเฝ้าระวังและสถาปัตยกรรมความปลอดภัยแบบไม่ไว้ใจ (zero trust) และต้องตรวจสอบอยู่เสมอ อาจไม่ใช่เพียงแนวทางปฏิบัติที่ดี แต่คือความอยู่รอดในวันที่ AI กำลังก้าวเข้ามาเป็นอีกหนึ่งปัจจัยในการโจมตีทางไซเบอร์
อัปเดตข้อมูลแวดวงวิทยาศาสตร์ เทคโนโลยี รู้ทันโลกไอที และโซเชียลฯ ในรูปแบบ Audio จาก AI เสียงผู้ประกาศของไทยพีบีเอส ได้ที่ Thai PBS
“รอบรู้ ดูกระแส ก้าวทันโลก” ไปกับ Thai PBS Sci & Tech
