คำตอบสั้น: PHP ออกแพตช์เมื่อ 21 ตุลาคม 2026 สำหรับช่องโหว่ร้ายแรงสองรายการที่อาจนำไปสู่การรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตนในเงื่อนไขบางแบบ รุ่นแก้ไขในสาย stable คือ 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ความเสี่ยงและวิธีเกิดเหตุแตกต่างตาม SAPI, การตั้งค่า และรูปแบบ worker ส่วนบทบาท AI เป็นคำอธิบายจาก OpenAI; PHP ระบุว่าทีมมนุษย์เป็นผู้ตัดสินใจและทำแพตช์
ข้อมูลอัปเดต ณ 22 ตุลาคม 2026: CVE ทั้งสองมีระดับ Critical และคะแนน CVSS v4.0 9.2 ตาม advisory ของ php-src ซึ่งระบุ attack complexity สูงและมี attack requirements เฉพาะ คะแนนนี้บอกระดับความรุนแรงตามแบบจำลอง ไม่ใช่โอกาสที่ระบบใดระบบหนึ่งจะถูกโจมตี
สองช่องโหว่เกิดคนละจังหวะ
CVE-2026-109618 (OOM corruption) เกี่ยวกับเส้นทางจัดการหน่วยความจำไม่พอ: ในบางจังหวะข้อมูลภายในของคำขออาจยังไม่ถูกตั้งค่าให้สมบูรณ์ แต่ขั้นตอนปิดคำขออ่านสถานะนั้นราวกับพร้อมใช้งานแล้ว PHP ระบุว่าสำหรับ Apache mod_php มีการยืนยัน RCE ผ่าน HTTP ภายใต้ค่าเริ่มต้นและก่อนโค้ดของแอปเริ่มทำงานได้ ส่วน advisory แยกตาม SAPI: การวิเคราะห์ชี้ว่า FPM อาจได้รับผลกระทบ แต่ยังไม่มีการสาธิต FPM exploit ที่สมบูรณ์สำหรับช่องโหว่นี้
CVE-2026-109619 (stale global state / use-after-free) เกิดเมื่อสถานะภายในของคำขอก่อนยังอ้างถึงหน่วยความจำที่ถูกคืนแล้ว และคำขอถัดไปบน worker เดิมเข้าถึงค่านั้นก่อนการเริ่มต้นรอบใหม่จะรีเซ็ตมัน PHP ยืนยันว่าต้องมีการทำงานข้ามคำขอและข้าม worker เดียวกันในเส้นทางที่ได้รับผล ส่วนผลการยืนยัน RCE ครอบคลุม mod_php และบางเส้นทางของ FPM ตาม advisory และรายงานของ Foundation ไม่ควรตีความว่า SAPI ทุกชนิดถูกโจมตีได้เหมือนกัน
สิ่งที่ยืนยันแล้ว—และสิ่งที่คำว่า “ไม่ต้องล็อกอิน” ไม่ได้บอก
advisory ให้คะแนน CVSS v4.0 9.2 แก่ทั้งสองรายการ โดย vector ระบุเครือข่าย, complexity สูง, attack requirements present, ไม่ต้องมีสิทธิ์ก่อนหน้า และไม่ต้องมีผู้ใช้กดอะไร ผลกระทบที่ยืนยันคือการรันโค้ดด้วยสิทธิ์ของ worker ในสภาพแวดล้อมที่เข้าเงื่อนไข—not ทุกเซิร์ฟเวอร์ PHP ที่ออนไลน์จะมี exploitability หรือความน่าเชื่อถือเท่ากัน PHP เตือนว่าความเสี่ยงสูงสุดอยู่ที่ mod_php; build, extension, frontend, allocator, configuration และการจัด worker เปลี่ยนเงื่อนไขได้
นี่เป็นความสามารถของช่องโหว่ที่นักวิจัยตรวจยืนยัน ไม่ใช่หลักฐานว่ามีผู้โจมตีใช้ช่องโหว่กับเว็บไซต์จริงเป็นวงกว้าง PHP Foundation ระบุว่าไม่พบ exploit ที่ใช้งานได้ใน PoC ที่ตรวจ ณ เวลาประกาศ ขณะที่ CERT-EU เตือนว่า PoC ที่เริ่มแพร่เพิ่มโอกาสการโจมตี สถานะการโจมตีในโลกจริงจึงยัง UNVERIFIED จากหลักฐานที่ตรวจได้ในรอบนี้
AI ช่วยค้นพบอะไร และใครเป็นผู้รับผิดชอบการแก้
OpenAI ระบุว่า Calif ใช้ GPT-5.6 Sol ในการค้นพบช่องโหว่สำคัญ และ OpenAI รายงานรากเหตุเดียวกันอย่างอิสระ ส่วนบันทึกของ PHP Foundation ให้ลำดับที่ละเอียดขึ้น: นักพัฒนา core ของ PHP พบสัญญาณแรกของปัญหา OOM ในปี 2024 ระหว่างแก้ประเด็นจาก audit ของ Quarkslab; Calif เริ่ม audit ในเดือนกรกฎาคม 2026, Calif และ OpenAI รายงานในวันที่ 11 สิงหาคม, Wiz ส่งรายงานอีกเวกเตอร์ในวันที่ 24 สิงหาคม และ OpenAI ส่งเวกเตอร์เพิ่มเติมวันที่ 18 กันยายน
คำอธิบายเรื่อง GPT-5.6 Sol จึงเป็น reported claim จาก OpenAI ไม่ใช่การประเมินอิสระว่าโมเดลทำงานโดยลำพังหรือมีประสิทธิภาพเพียงใด PHP Foundation ระบุว่า AI ช่วยตรวจยืนยันและจัดกลุ่มรายงาน แต่คนเป็นผู้ตัดสินใจและทำแพตช์ การแก้บั๊กใน runtime ที่มีข้อจำกัดด้านความเข้ากันได้และส่วนขยายจำนวนมากยังต้องอาศัยการตัดสินใจของผู้ดูแลระบบและวิศวกรที่รู้โค้ดเบส
รุ่นที่แก้แล้วและสิ่งที่ผู้ดูแลระบบควรตรวจ
| สาย PHP | รุ่นแก้ไข upstream |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
ผู้ดูแลควรตรวจเวอร์ชันที่ทำงานจริงในทุก web-serving environment ไม่ใช่ดูเฉพาะรุ่นบนเครื่องมือ build หรือแผงควบคุม แล้วอัปเดตแพ็กเกจจาก PHP, ดิสทริบิวชัน Linux หรือผู้ให้บริการโฮสต์ตามประกาศของแหล่งนั้น หลังอัปเดตให้ยืนยันว่ากระบวนการ PHP/worker ที่ให้บริการโหลดรุ่นที่แก้แล้วจริง PHP ระบุว่า 8.1 และเก่ากว่าไม่ได้รับการอัปเดตตามปกติจาก upstream แต่บางดิสทริบิวชันหรือผู้ให้บริการ LTS อาจ backport แพตช์ได้—ต้องตรวจสถานะแพ็กเกจจากผู้ดูแลของตน
มาตรการชั่วคราวที่ PHP ระบุลดความเสี่ยงได้เฉพาะบางเส้นทาง และไม่ใช่การแก้ครบถ้วน แนวทางขึ้นกับ SAPI และการตั้งค่าจริง จึงควรใช้คำแนะนำใน advisory ต้นทางพร้อมผู้ให้บริการ ไม่ควรมองตารางเปรียบเทียบด้านล่างเป็นเครื่องสแกนหรือการรับรองความปลอดภัย
ตัวช่วยเทียบรุ่นกับตารางแพตช์ upstream
การเทียบนี้ใช้ข้อมูลที่คุณเลือกในเบราว์เซอร์ ไม่ส่งข้อมูล ไม่ตรวจเซิร์ฟเวอร์ และไม่ยืนยัน vendor backport
เลือกสายรุ่นและรุ่นย่อยเพื่อดูผล
คำถามที่พบบ่อย
เว็บไซต์ PHP ทุกแห่งถูกเจาะแล้วหรือไม่?
ไม่ใช่ หลักฐานยืนยันช่องโหว่และการสาธิตในสภาพแวดล้อมที่เข้าเงื่อนไข แต่ไม่มีหลักฐานในแหล่งที่ตรวจรอบนี้ว่าทุกเว็บไซต์ถูกโจมตีจริง สถานะ exploitation in the wild ยัง UNVERIFIED
ใช้ PHP รุ่นใดจึงแก้แล้ว?
รุ่น upstream ที่ประกาศคือ 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ส่วนสายเก่ากว่านั้นให้ตรวจประกาศจากดิสทริบิวชันหรือโฮสต์ เพราะอาจมี backport โดยใช้เลขรุ่นแพ็กเกจของตน
AI เป็นผู้ค้นพบและแก้ช่องโหว่แทนคนหรือไม่?
OpenAI ระบุว่า Calif ใช้ GPT-5.6 Sol และ OpenAI รายงานรากเหตุด้วย แต่ PHP Foundation กล่าวว่าคนเป็นผู้ตัดสินใจและทำแพตช์ รวมถึงนักพัฒนา PHP ที่พบสัญญาณแรกในปี 2024
มีรายงานโจมตีจริงแล้วหรือยัง?
ในหลักฐานที่ตรวจได้รอบนี้ยังยืนยันไม่ได้ PHP Foundation ระบุว่าไม่พบ PoC ที่ใช้งานได้ ณ วันเปิดเผย แต่หน่วยงานบางแห่งเตือนความเสี่ยงเพิ่มขึ้นเมื่อ PoC แพร่กระจาย ทั้งสองข้อไม่ใช่การยืนยันว่ามีการใช้โจมตีจริง
หลักฐานและข้อจำกัด
VERIFIED: การออกแพตช์ รายละเอียด CVE เงื่อนไขตาม SAPI และคะแนน CVSS v4.0 9.2 ตาม PHP/GHSA; ผลการสาธิต RCE ในสภาพแวดล้อมที่ advisory ระบุ
REPORTED CLAIM: OpenAI ระบุว่า Calif ใช้ GPT-5.6 Sol; ข้อมูลนี้ไม่พิสูจน์การค้นพบโดย AI เพียงลำพังหรือประสิทธิภาพทั่วไป
UNVERIFIED: การโจมตีจริงวงกว้าง ณ เวลารายงานนี้
ข้อจำกัด: รายงานนี้ไม่ได้ติดตั้ง ทดสอบ หรือรันซอฟต์แวร์ช่องโหว่ และไม่ได้ตรวจระบบของผู้อ่าน
แหล่งข้อมูลต้นทาง
- ประกาศ PHP: Critical remote code execution vulnerabilities, update now (21 ต.ค. 2026)
- GHSA-w8hw-w9fx-j79w — CVE-2026-109618; CVSS v4.0 9.2
- GHSA-6wmf-4rv5-p3rp — CVE-2026-109619; CVSS v4.0 9.2
- PHP Foundation: ลำดับการค้นพบ การแก้ไข และข้อจำกัดของ PoC (21 ต.ค. 2026)
- OpenAI: Patch the Planet—บทบาทของ Calif, OpenAI และ Wiz (21 ต.ค. 2026)
- CERT-EU: advisory และคำเตือนเกี่ยวกับ PoC ที่แพร่กระจาย
- Hybrid Mind: ทำไมวันเปิดเผย CVE กับวันออกแพตช์จึงต้องแยกกัน
Correction note: — ไม่มีการแก้ไขหลังเผยแพร่ในฉบับร่างนี้
ใส่ความเห็น