CZ เตือนผู้ใช้คริปโตถึงช่องโหว่ความปลอดภัยร้ายแรงของ PHP

ในคำเตือนเมื่อวันที่ 22 ตุลาคม Zhao ชี้ให้เห็นช่องโหว่ด้านความปลอดภัยสองรายการที่ระบุเป็น CVE-2026-109618 และ CVE-2026-109619 ซึ่งอาจทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายบนเว็บเซิร์ฟเวอร์ที่มีช่องโหว่ได้โดยไม่ต้องมีการยืนยันตัวตน

“จะหาว่าผมหวาดระแวงก็ได้ แต่ขอให้ระมัดระวังเป็นพิเศษเมื่อเข้าชมเว็บไซต์ใด ๆ ในอีกไม่กี่วันข้างหน้า” Zhao เขียน พร้อมอธิบายว่าผู้ดูแลเว็บไซต์บางรายอาจยังไม่ได้ติดตั้งแพตช์ความปลอดภัยล่าสุด

ช่องโหว่ดังกล่าวส่งผลกระทบต่อการติดตั้ง PHP ที่รองรับแพลตฟอร์มจัดการเนื้อหาและอีคอมเมิร์ซยอดนิยม รวมถึง WordPress, Magento, Drupal และ Joomla การโจมตีที่สำเร็จอาจทำให้ผู้โจมตีสามารถบุกรุกโครงสร้างพื้นฐานของเว็บไซต์ เข้าถึงข้อมูลที่ละเอียดอ่อน หรือแก้ไขเนื้อหาที่แสดงต่อผู้เข้าชมได้

แม้ว่าคำเตือนของ Zhao จะมุ่งเป้าไปที่ผู้ใช้เว็บไซต์ แต่ช่องโหว่พื้นฐานนั้นส่งผลกระทบต่อเซิร์ฟเวอร์ และไม่ได้หมายความว่าการเข้าชมเว็บไซต์ที่ใช้ PHP ใด ๆ จะทำให้อุปกรณ์หรือกระเป๋าเงินคริปโตของบุคคลนั้นถูกบุกรุกโดยอัตโนมัติ

ช่องโหว่ PHP ทำให้ผู้โจมตีสามารถรันโค้ดจากระยะไกลได้

ตามการเปิดเผยด้านความปลอดภัยของ PHP Foundation ช่องโหว่ทั้งสองรายการได้รับคะแนนความรุนแรง 9.2 จาก 10 และเกี่ยวข้องกับจุดอ่อนในระบบการจัดการหน่วยความจำและการจัดการข้อผิดพลาดของภาษาโปรแกรม

ช่องโหว่แรก CVE-2026-109618 เกี่ยวข้องกับความเสียหายของหน่วยความจำเมื่อ PHP ถึงขีดจำกัดหน่วยความจำที่กำหนดค่าไว้ระหว่างการดำเนินการบางอย่าง ภายใต้เงื่อนไขเฉพาะ เซิร์ฟเวอร์อาจประมวลผลข้อมูลที่เริ่มต้นเพียงบางส่วนอย่างไม่ถูกต้อง ทำให้ผู้โจมตีสามารถรันโค้ดที่ไม่ได้รับอนุญาตได้

ในขณะเดียวกัน CVE-2026-109619 เกี่ยวข้องกับการอ้างอิงหน่วยความจำภายในที่ยังคงเข้าถึงได้หลังจากหน่วยความจำที่เกี่ยวข้องถูกปล่อยคืนแล้ว นักวิจัยได้สาธิตว่าผู้โจมตีสามารถใช้ประโยชน์จากจุดอ่อนนี้เพื่อรันโค้ดกับแอปพลิเคชันที่ทำงานบนเซิร์ฟเวอร์ที่ได้รับผลกระทบ

มูลนิธิยืนยันว่าการโจมตีเป็นไปได้ภายใต้การกำหนดค่าเริ่มต้นของเซิร์ฟเวอร์ Apache ที่ใช้ mod_php ในขณะที่นักวิจัยได้สาธิตเส้นทางการโจมตีเพิ่มเติมที่เกี่ยวข้องกับ PHP-FPM

หลังจากการเปิดเผย นักพัฒนาได้เผยแพร่เวอร์ชันที่แพตช์แล้ว ได้แก่ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 เมื่อวันที่ 21 ตุลาคม

คำแนะนำอย่างเป็นทางการของ PHP เรียกร้องให้ผู้ดูแลระบบอัปเดตทันที โดยเตือนว่ามาตรการป้องกันชั่วคราวไม่สามารถขจัดความเสี่ยงได้อย่างสมบูรณ์

การติดตั้ง PHP รุ่นเก่ายังคงเป็นข้อกังวล เนื่องจากเวอร์ชันที่อยู่นอกสาขาที่โครงการสนับสนุนอาจต้องพึ่งพาการแก้ไขด้านความปลอดภัยที่จัดหาแยกต่างหากโดยผู้ให้บริการโฮสติ้งหรือผู้จำหน่ายซอฟต์แวร์

มีการเผยแพร่แพตช์ฉุกเฉินแล้ว

รายละเอียดเกี่ยวกับช่องโหว่เริ่มแพร่สะพัดก่อนที่ทีมความปลอดภัยของ PHP จะเสร็จสิ้นกระบวนการเปิดเผยตามแผน

ตามข้อมูลของมูลนิธิ ตัวระบุช่องโหว่ทั้งสองรายการปรากฏบนฟอรัมออนไลน์และโซเชียลมีเดียเมื่อวันที่ 20 ตุลาคม พร้อมด้วยคะแนนความรุนแรงที่ไม่ถูกต้องคือ 10.0 และกำหนดการเผยแพร่ที่ไม่แม่นยำ

แม้ว่าการรั่วไหลครั้งแรกจะไม่มีคำแนะนำทางเทคนิคสำหรับการโจมตี แต่บริษัทด้านความปลอดภัย Calif ได้เผยแพร่วิดีโอพิสูจน์แนวคิดโดยไม่ได้ตั้งใจ ซึ่งสาธิตการโจมตีต่อเป้าหมายหลายราย

สำเนายังคงแพร่กระจายต่อไปหลังจากวิดีโอต้นฉบับถูกลบออก ทำให้นักวิจัยต้องพัฒนาการสาธิตการโจมตีเพิ่มเติม

ทีม PHP จึงเลื่อนกำหนดการเผยแพร่ด้านความปลอดภัยจากวันที่ 22 ตุลาคมเป็นวันที่ 21 ตุลาคม เพื่อให้ผู้จัดจำหน่ายซอฟต์แวร์มีเวลาเตรียมการอัปเดต ขณะเดียวกันก็ลดช่วงเวลาที่ข้อมูลทางเทคนิคอาจแพร่กระจายโดยที่ยังไม่มีแพตช์ให้ใช้งาน

มูลนิธิยังได้วิพากษ์วิจารณ์ผู้จำหน่ายด้านความปลอดภัย Chainguard ที่เผยแพร่อิมเมจซอฟต์แวร์ที่แพตช์แล้วล่วงหน้ามากกว่าหกชั่วโมงก่อนการเผยแพร่แบบประสานงาน ซึ่งอาจทำให้ผู้โจมตีตรวจสอบการเปลี่ยนแปลงได้ก่อนการเปิดเผยต่อสาธารณะ

บริษัทด้านความปลอดภัย Cloudflare ได้ติดตั้งระบบป้องกันไฟร์วอลล์ก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะ โดยทำงานร่วมกับนักวิจัยจาก OpenAI, Wiz และองค์กรอื่น ๆ ที่เกี่ยวข้องในการเปิดเผยข้อมูล

Cloudflare กล่าวว่าช่องโหว่เหล่านี้ ซึ่งเรียกรวมกันว่า PHP2Shell อาจทำให้เซิร์ฟเวอร์ที่ได้รับผลกระทบเสี่ยงต่อการรันโค้ดจากระยะไกล การหยุดชะงักของบริการ และการเปิดเผยข้อมูลที่ละเอียดอ่อน

ผู้ใช้คริปโตเสี่ยงจากเว็บไซต์ที่ถูกบุกรุกหรือไม่?

คำเตือนของ Zhao มีขึ้นในขณะที่ผู้ใช้คริปโตยังคงเผชิญกับแคมเปญฟิชชิ่งที่อาศัยเว็บไซต์ปลอมและการหลอกลวงเพื่อขอข้อมูลรับรองกระเป๋าเงิน

รายงานก่อนหน้านี้ระบุว่าเว็บไซต์ Ledger ปลอมปรากฏในผลการค้นหาของ Google โดยผู้โจมตีพยายามรวบรวมวลีกู้คืนกระเป๋าเงินผ่านหน้าเว็บที่เลียนแบบซอฟต์แวร์ที่ถูกต้อง

อีกเหตุการณ์หนึ่ง ผู้โจมตีใช้อีเมลฟิชชิ่งของ Trezor และโครงสร้างพื้นฐานของบุคคลที่สามที่ถูกบุกรุกเพื่อกระจายข้อความด้านความปลอดภัยปลอมไปยังลูกค้าคริปโต

อย่างไรก็ตาม เซิร์ฟเวอร์ PHP ที่ถูกบุกรุกอาจทำให้ผู้โจมตีสามารถเปลี่ยนแปลงเนื้อหาเว็บไซต์หรือแทรกคำขอเข้าสู่ระบบและเชื่อมต่อกระเป๋าเงินปลอมได้ ขึ้นอยู่กับการเข้าถึงที่ได้รับ

จนถึงเวลาที่รายงาน ยังไม่มีรายงานที่ยืนยันถึงเหตุการณ์ด้านความปลอดภัยที่ส่งผลกระทบต่อกระดานเทรดคริปโตหรือกระเป๋าเงินของผู้ใช้ที่เชื่อมโยงโดยตรงกับช่องโหว่ PHP ที่เพิ่งเปิดเผยใหม่

ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งแคนาดาได้เรียกร้องให้องค์กรที่ดำเนินการแอปพลิเคชัน PHP ที่เชื่อมต่ออินเทอร์เน็ตตรวจสอบการติดตั้งที่มีช่องโหว่และนำการอัปเดตความปลอดภัยที่มีอยู่ไปใช้ทันที