PHP ที่เว็บไซต์ราว 7 ใน 10 ทั่วโลกใช้เกิดช่องโหว่ร้ายแรง: ในยุค AI สิ่งที่ตัดสินคือใครแก้ได้ก่อน

เช้าวันที่ 22 ต.ค. คุณเฉิน เจ้าของโรงงานฉีดพลาสติกชานเมืองกรุงเทพฯ ถูกปลุกด้วยข้อความจากฝ่ายขาย: "เจ้านายครับ ข่าวบอกว่า PHP ที่เว็บไซต์ทั่วโลกใช้กันมากมีช่องโหว่ร้ายแรง เว็บไซต์และระบบสั่งซื้อของเราจะมีปัญหาไหมครับ?" เขาแปรงฟันไปพลางเลื่อนมือถือไปพลาง เห็นแต่ตัวย่อภาษาอังกฤษกับคำอย่าง "ร้ายแรง" "โจมตีได้โดยไม่ต้องล็อกอิน" เขาโทรหาผู้ดูแลไอที ได้คำตอบว่า "ขอผมดูก่อนนะครับ" ในใจคุณเฉินมีคำถามเพียงสองข้อ: บริษัทเรามีปัญหาหรือไม่? และลูกค้าจะโทรมาถามเราหรือเปล่า?

เช้าแบบนี้เจ้าของกิจการหลายคนเคยเจอ บทนี้เราจะแปลข่าวให้เป็นภาษาที่คุณเข้าใจ และบอกว่าควรถามสามคำถามอะไร

เกิดอะไรขึ้น

PHP เปรียบได้กับ "ครัวใหญ่หลังเว็บไซต์": เมื่อคุณกดสั่งซื้อบนหน้าเว็บ ครัวนี้จะทำงานให้เสร็จ เหตุการณ์ที่เรียกว่า PHP2Shell คือครัวแห่งนี้พบช่องโหว่สองจุด และคะแนนความรุนแรงของวงการความปลอดภัยไซเบอร์ (CVSS v4) ของทั้งสองจุดอยู่ที่ 9.2 (เต็ม 10)

• ผู้โจมตีไม่ต้องล็อกอินก็อาจใช้ประโยชน์จากระยะไกลได้
• ทุกการติดตั้ง PHP ที่ให้บริการเว็บได้รับผลกระทบ รวมถึงเวอร์ชันเก่ามาก
• ทางผู้พัฒนาเผยแพร่เวอร์ชันแก้ไขใหม่เมื่อ 21 ตุลาคม 2026 ส่วนเวอร์ชันที่เก่ากว่านั้นมีเพียงการแก้ไขที่ซอร์สโค้ด หรือไม่มีการแก้ไขเลย
• นักวิจัยประเมินว่ามีเครื่องบนอินเทอร์เน็ตมากกว่า 1.3 ล้านเครื่องที่อาจได้รับผลกระทบ (เป็นตัวเลขประเมินของนักวิจัย ไม่ใช่ตัวเลขทางการ)
• สถิติของ W3Techs เมื่อ 22 ตุลาคม 2026 ระบุว่าในบรรดา "เว็บไซต์ที่ทราบภาษาฝั่งเซิร์ฟเวอร์" มี 69.3% ใช้ PHP จึงเป็นที่มาของคำว่า "เว็บไซต์ราว 7 ใน 10 ทั่วโลก"

และขอให้จำอีกข้อ: การตั้งค่าฉุกเฉินช่วยได้เพียง "ลดความเสี่ยงที่เปิดเผย" การอัปเดตเวอร์ชันเท่านั้นคือการแก้ไขที่สมบูรณ์ เหมือนกรณี Log4Shell ของ Java เมื่อปี 2021 ที่ชี้ให้เห็นว่าภาษาโปรแกรมใดก็มีช่องโหว่ได้ ไม่ใช่ความผิดพลาดของบริษัทใดบริษัทหนึ่ง

ทำไมในยุค AI ยิ่งต้องเร็ว

ขอทำความเข้าใจก่อนว่า นี่ไม่ใช่ "ช่องโหว่ที่ AI สร้างขึ้น" แต่ AI ทำให้สองเรื่องเร็วขึ้นจริง

1. การหาช่องโหว่เร็วขึ้น: ทีมวิจัย Calif และ Wiz ที่พบช่องโหว่ทั้งสองจุด แจ้งว่าใช้โมเดล AI ในกระบวนการวิจัย และรายชื่อผู้ได้รับการกล่าวขอบคุณของ PHP Foundation ก็มี Calif, OpenAI และ Wiz
2. การโจมตีจริงเร็วขึ้น: ตามที่บริษัทความปลอดภัยไซเบอร์ Tenable รวบรวมไว้ เมื่อวันที่ 17 ต.ค. (ก่อนประกาศอย่างเป็นทางการ 4 วัน) ระบบล่อ (honeypot) ของ Amazon ตรวจพบความพยายามโจมตีแล้ว วันที่ 20 ต.ค. หมายเลขช่องโหว่รั่วออกมาก่อน ทางผู้พัฒนาจึงเลื่อนการเผยแพร่จาก 22 ต.ค. มาเป็นวันที่ 21 และในวันที่ 21 Cloudflare แจ้งว่า "เริ่มเห็นการโจมตีระยะแรก"

รายงานไตรมาส 3 ของ Rapid7 ก็ระบุเช่นกันว่า ช่องโหว่ความเสี่ยงสูงนับจากเปิดเผยต่อสาธารณะจนถูกโจมตี ใช้เวลาเฉลี่ยเพียง 3 วัน การโจมตีที่ติดตามได้ในไตรมาส 3 มี 71% เกิดขึ้นภายใน 7 วันหลังเปิดเผย ในรายงานเดียวกัน มีรายงานภัยคุกคาม 8% ที่กล่าวถึง AI ว่าเป็นส่วนหนึ่งของกระบวนการโจมตี ใช้เลือกเทคนิค ประเมินเป้าหมาย และปรับแผนเมื่อล้มเหลว แต่เป้าหมายของการโจมตียังคงเป็นคนเลือก

สรุปง่าย ๆ: ช่องโหว่ต้องมีเสมอ สิ่งที่ต่างกันคือใครจัดการเสร็จก่อน ความคิดที่ว่า "เรายังไม่เคยถูกโจมตี จึงไม่ต้องรีบ" อันตรายที่สุด เพราะเมื่อถึงวันที่ถูกโจมตี มักจะสายเกินไปแล้ว

สามคำถามที่ผู้บริหารต้องถาม

หนึ่ง เราใช้ระบบอะไรอยู่บ้างกันแน่?

คุณไม่จำเป็นต้องเข้าใจเทคนิค แต่ต้องรู้ว่ามีรายการระบบหรือไม่ กรุณาให้ฝ่ายไอทีหรือผู้ให้บริการส่งมอบภายในหนึ่งสัปดาห์:

• เว็บไซต์ ระบบสั่งซื้อ ระบบสมาชิก ระบบใบเสนอราคา ฯลฯ ระบบละหนึ่งบรรทัด
• แต่ละระบบใช้เทคโนโลยีอะไร ใครเป็นผู้ดูแล ติดตั้งไว้ที่ใด
• ระบบใดบ้างที่ให้ผู้ให้บริการภายนอกดูแลแทน และผู้ติดต่อคือใคร

สอง เมื่อเกิดเหตุ ใครรับผิดชอบ? ต้องจัดการให้เสร็จภายในกี่วัน?

กรุณาเขียนคำตอบเป็นประโยคเดียว: "เมื่อได้รับแจ้งช่องโหว่ ให้ ○○ เป็นผู้รับผิดชอบ ตรวจสอบรายการระบบให้เสร็จภายใน ○ ชั่วโมง และอัปเดตอย่างเป็นทางการให้เสร็จภายใน ○ วัน" หากไม่มีชื่อบุคคลและกรอบเวลา ก็เท่ากับไม่มีขั้นตอน และต้องมีผู้ทำหน้าที่แทนด้วย เพราะช่องโหว่ไม่เลือกวันที่คุณไปทำธุรกิจต่างประเทศ

สาม ลูกค้าจะได้ยินจากคุณก่อน หรือเห็นข่าวก่อน?

เมื่อลูกค้าเห็นข่าว ปฏิกิริยาแรกคือถามผู้ขาย หากคุณแจ้งก่อน ลูกค้าจะรู้สึกว่าคุณเชื่อถือได้ หากรอให้ถามก่อน ลูกค้าจะเริ่มสงสัย กรุณาเตรียมแม่แบบประกาศ "สองฉบับ ภาษาจีนและภาษาไทย" ไว้ล่วงหน้า เนื้อหามีเพียงสามเรื่อง: เรารับทราบแล้ว เราทำอะไรไปแล้ว และลูกค้าต้องทำอะไร

24 ชั่วโมงของผู้ให้บริการรายหนึ่ง

ขอยกตัวอย่างทงหยุน เทคโนโลยี ลำดับการรับมือหลังประกาศอย่างเป็นทางการ โดยสรุปดังนี้

วิดีโออธิบายที่ส่งให้ลูกค้าในวันนั้น (ฉบับภาษาไทย) ดูได้ที่นี่ (วิดีโออธิบายฉบับภาษาไทย) คุณลองใช้ตารางนี้เทียบกับบริษัทของคุณดูว่า ช่องไหนที่ตอนนี้ยังทำไม่ได้?

🔧 AI ลงมือทำ: เครื่องแปลข่าวช่องโหว่

ครั้งหน้าเมื่อเห็นข่าวความปลอดภัยไซเบอร์ ไม่ต้องรอให้ฝ่ายไอทีอธิบาย นำข่าวพร้อมระบบที่บริษัทใช้ไปวางให้ AI แล้วให้ตอบด้วยภาษาที่เจ้าของกิจการฟังเข้าใจ ข้อควรระวัง: อย่าวางรหัสผ่านหรือข้อมูลลูกค้า วางเฉพาะชื่อระบบและการใช้งานก็พอ และให้ถือว่าคำตอบของ AI เป็นเพียงจุดเริ่มต้นของ "ควรถามใคร" โดยให้ฝ่ายไอทีหรือผู้ให้บริการเป็นผู้ยืนยัน

คุณเป็นที่ปรึกษาที่เข้าใจทั้งความปลอดภัยไซเบอร์และการบริหารธุรกิจ ฉันเป็นเจ้าของกิจการที่ไม่มีพื้นฐานด้านเทคนิค กรุณาตอบเป็นภาษาไทย ใช้ภาษาที่เข้าใจง่าย อย่าทำให้ตกใจ และอย่าตอบแค่ว่า "กรุณาปรึกษาผู้เชี่ยวชาญ"

【ข่าวช่องโหว่ที่ฉันวาง】
[วางข่าวฉบับเต็มหรือย่อหน้าสำคัญ]

【ระบบที่บริษัทฉันใช้】
[เช่น เว็บไซต์ (ผู้ให้บริการภายนอกดูแล), ระบบสั่งซื้อ (ไอทีของบริษัทเอง), เว็บไซต์สมาชิก, ระบบใบเสนอราคา; มีอะไรก็ลงไว้ ถ้าไม่แน่ใจให้เขียนว่า "ไม่แน่ใจ"]

【สถานการณ์ของบริษัทฉัน】
[อุตสาหกรรมและขนาด เช่น โรงงานผลิตในประเทศไทย พนักงานประมาณ 80 คน; ผู้ติดต่อฝ่ายไอทีคือ ○○; ลูกค้าเป็นผู้ซื้อจากไทยและไต้หวัน]

กรุณาตอบตามลำดับ:
1. สรุปเป็นสามประโยคว่าข่าวนี้พูดถึงอะไร ร้ายแรงแค่ไหน
2. บริษัทฉัน "อาจมีปัญหา" "น่าจะไม่มีปัญหา" หรือ "ตัดสินไม่ได้" พร้อมอธิบายเหตุผล ส่วนที่ตัดสินไม่ได้ ให้ระบุว่าขาดข้อมูลอะไร
3. ฉันควรถามฝ่ายไอทีหรือผู้ให้บริการว่าอะไรบ้าง (ไม่เกิน 5 ข้อ ข้อละหนึ่งประโยค พร้อมระบุว่า "คำตอบที่ดีควรหน้าตาเป็นอย่างไร")
4. จำเป็นต้องแจ้งลูกค้าหรือไม่ ถ้าจำเป็น กรุณาเขียนร่างประกาศภาษาจีนและภาษาไทยอย่างละฉบับ ไม่เกิน 150 คำ ถ้าไม่จำเป็น ให้อธิบายว่าเมื่อไรจึงจะจำเป็น
5. สามสิ่งที่ฉันทำได้ในสัปดาห์นี้ พร้อมผู้รับผิดชอบและกำหนดเสร็จที่แนะนำ

สุดท้ายกรุณาเตือนฉันว่า ข้อสรุปใดบ้างที่ต้องให้ฝ่ายไอทีหรือผู้ให้บริการยืนยันก่อนจึงจะถือว่าใช้ได้

สิ่งที่ทำได้ภายในสัปดาห์นี้: ขอให้ผู้ดูแลไอทีส่ง "รายการระบบที่บริษัทใช้และผู้รับผิดชอบดูแล" ความยาวหนึ่งหน้าให้คุณก่อนวันศุกร์ และเขียนกรอบเวลาหนึ่งข้อที่คุณท่องได้เอง: เมื่อได้รับแจ้งช่องโหว่ ต้องตรวจนับระบบให้เสร็จภายในกี่ชั่วโมง

แหล่งข้อมูล: Tenable: คำถามที่พบบ่อยเกี่ยวกับ PHP2Shell; Rapid7: คำอธิบายช่องโหว่ PHP สองจุดที่รันโค้ดระยะไกลได้โดยไม่ต้องล็อกอิน; Rapid7: รายงานภัยคุกคามไตรมาส 3 ปี 2026; W3Techs: สถิติการใช้งาน PHP (22 ตุลาคม 2026)