AI ขุดพบช่องโหว่ PHP ระดับล่างที่ซ่อนมานานนับสิบปี ความปลอดภัยไซเบอร์ไม่มีวันกลับไปเป็นเหมือนเดิม

ผู้เขียน: สือจื้อเซิงหมิง ข่าจือเค่อ

เมื่อคืนที่ผ่านมา อาจเป็นฝันร้ายของความปลอดภัยไซเบอร์

และเป็นคืนที่นอนไม่หลับของวิศวกรหลายคน

พูดได้แค่ว่า ยุคสมัยและสังคมทั้งหมดของเรา ภายใต้การเร่งความเร็วของ AI กำลังวุ่นวายกันไปหมด

เรื่องมันเป็นแบบนี้

เริ่มจากเมื่อวานซืน คือคืนวันที่ 20 ตุลาคม ราว 5 ทุ่มกว่า จู่ๆ ก็มีโพสต์หนึ่งโผล่ขึ้นมาบน Hacker News

พาดหัวน่ากลัวมาก บอกว่ามีช่องโหว่ Remote Code Execution ของ PHP ระดับ CVSS 10.0 สองรายการ กำลังจะถูกเปิดเผย

คนโพสต์เขียนเองว่า นอกจาก "แหล่งข่าว: เชื่อใจฉันก็พอ" (trust me, bro) แล้ว ฉันไม่มีหลักฐานอะไรเลย แถมยังแนบหมายเลขช่องโหว่มาด้วย

แต่โพสต์แบบนี้ ในเน็ตวันหนึ่งเห็นเป็นร้อย ไม่มีใครคิดจริงจัง

แต่โพสต์นี้ ผ่านไปไม่กี่ชั่วโมง ถูกบริษัทความปลอดภัยชื่อ watchTowr ยืนยัน พวกเขาพูดตรงๆ ว่า "เราควรจะรอถึงวันพฤหัสฯ ด้วยซ้ำ"

ตอนนี้เลยน่าอึดอัดใจ เพราะช่องโหว่นี้ใหญ่มาก อยู่ในสถานะรั่วไหลแล้ว คนที่ตั้งใจจริงเริ่มใช้ประโยชน์ได้แล้ว แต่การอัปเดตความปลอดภัยอย่างเป็นทางการของ PHP ยังอยู่ระหว่างแพ็กเกจ เดิมกำหนดอัปเดตคืนวันที่ 22 แต่ตอนนี้มีช่องว่างสองวันทันที ถ้าภายในสองวันนี้ช่องโหว่ถูกใช้และเจาะระบบได้ ผลที่ตามมาคาดไม่ถึง

ผ่านไปอีกชั่วโมงกว่า ทางการ PHP รีบออกประกาศล่วงหน้า: การอัปเดตความปลอดภัยเดิมวันที่ 22 ตุลาคม ถูกบังคับให้เลื่อนมาเป็นวันที่ 21 ตุลาคม เวลา 22.00 น. (ตามเวลาปักกิ่ง) เพื่อบีบเวลาให้สั้นที่สุด

ผลปรากฏว่า ประกาศล่วงหน้าของทางการเพิ่งออกไป ก็เกิดเรื่องที่เหลือเชื่อยิ่งกว่าเดิมอีก

บริษัทความปลอดภัยที่ร่วมค้นพบช่องโหว่สองรายการนี้ ชื่อ Calif ดันเผลอโพสต์วิดีโอสาธิตการโจมตีลงอินเทอร์เน็ต แสดงให้เห็นชัดเจนว่าโลกนี้คือกองถ่ายมือสมัครเล่นขนาดยักษ์

ในวิดีโอ พวกเขาแสดงวิธีใช้ช่องโหว่เหล่านี้ รันโปรแกรมตรวจสอบการโจมตีสำเร็จบนเป้าหมายหลายตัว แม้วิดีโอจะถูกลบอย่างรวดเร็ว แต่ช่วยไม่ได้ มีคนเซฟไว้ทันและเริ่มแพร่กระจายในโซเชียลอย่างหนัก

เอาล่ะสิ

เดิมทีทุกคนแค่รู้ว่ามีช่องโหว่ร้ายแรงสองรายการ ไม่รู้ด้วยซ้ำว่าโจมตีอย่างไร ตอนนี้มีวิดีโอสาธิตการโจมตีแล้ว ขาดแค่สอนทีละขั้นตอน

จากนั้นภายใต้การเร่งความเร็วของ AI ที่เหลือเชื่อต่างๆ นักวิจัยความปลอดภัยเริ่มเร่งทำซ้ำ โค้ดที่อ้างว่าใช้ประโยชน์จากช่องโหว่ได้ก็เริ่มโผล่ขึ้นมาบนเน็ต

และตอนนั้น ยังเหลืออีก 16 ชั่วโมง กว่าแพตช์แก้ช่องโหว่จะปล่อยให้ทุกคนดาวน์โหลดอย่างเป็นทางการได้

16 ชั่วโมงแห่งความเป็นความตาย ถ้าเป็นเมื่อก่อน คนร้ายอาจยังไม่สามารถโจมตีขนาดใหญ่ได้ในเวลาสั้นขนาดนี้ แต่ตอนนี้เป็นยุค AI แล้ว 16 ชั่วโมง สำหรับคนที่ใช้ AI เร่งความเร็วแล้ว ดูเหมือนจะนานเกินไปหน่อย

ที่เหลือเชื่อยิ่งกว่าคือ วันที่ 21 เวลา 15.41 น. บริษัททำ container image เจ้าหนึ่ง ปล่อย image ที่แพตช์แล้วออกไปก่อนเวลานัดหมายกว่า 6 ชั่วโมง มูลนิธิ PHP ด่าเลย: "ไม่สนใจงานประสานงานหลายสัปดาห์ของหลายฝ่าย"

เพราะสมัยนี้ คนที่รู้เรื่องเอาโค้ดเวอร์ชันเก่าใหม่ให้ AI เทียบแบบ brute force ตรงๆ ก็รู้แล้วว่าช่องโหว่อยู่ตรงไหน ใช้ AI ศึกษาแพตช์ ใช้ AI วิเคราะห์ย้อนกลับหาช่องโหว่ แล้วใช้ AI พัฒนาโปรแกรมโจมตี

แต่ผู้ดูแลเว็บไซต์ปกติจำนวนมาก ยังไม่มีแพ็กเกจอัปเดตที่ติดตั้งได้โดยตรง นี่หมายความว่าผู้โจมตีเปิดตาสวรรค์โดยตรง ออกตัวนำหน้าไปก่อน

ดังนั้น ความพังก็เกิดขึ้น

วันที่ 21 ระบบดิจิทัลไอดีของเนเธอร์แลนด์ เว็บไซต์รัฐสภา แม้แต่เว็บไซต์ของศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติเอง ก็ล่มทีละแห่ง

ผู้ให้บริการไอทีของรัฐบาลฟินแลนด์ก็ปิดบริการบางส่วน บริษัทซอฟต์แวร์ทรัพยากรบุคคลของสหรัฐฯ ชื่อ BambooHR หยุดให้บริการทันที เตือนลูกค้าว่าธุรกิจเกี่ยวกับเงินเดือนอาจได้รับผลกระทบ niconico และ pixiv ของญี่ปุ่นเข้าสู่การบำรุงรักษาฉุกเฉิน

เพราะเว็บไซต์ PHP ในญี่ปุ่นเยอะมากจริงๆ แม้แต่ทาคาอิจิ ซานาเอะ ยังไปโพสต์บน X แนะนำให้ปิดระบบล่วงหน้า จนกว่าจะมีการอัปเดต PHP ตอน 22.00 น.

ช่องโหว่ของภาษาโปรแกรมภาษาเดียว ทำให้ทาคาอิจิ ซานาเอะทวีตตอนดึก ทำให้รัฐบาลหลายประเทศถอดสายเน็ตด้วยตัวเอง ภาพแบบนี้ พูดตรงๆ ฉันไม่เคยเห็นมาก่อน

แบบนี้ โลกก็ซวนเซ ผ่านพ้นสิบกว่าชั่วโมงนั้นมาได้

ไม่มีใครรู้ว่า ในสิบกว่าชั่วโมงนั้น ด้านมืดใต้น้ำ ได้อะไรไปบ้าง

เวลา 22.00 น. การอัปเดตความปลอดภัยของ PHP ออนไลน์ สำหรับช่องโหว่ร้ายแรงสองรายการนี้ ไม่มีมาตรการบรรเทาที่สมบูรณ์ การอัปเดตเป็นทางเลือกเดียวที่ปลอดภัย

พร้อมกัน OpenAI ออกมารับเองว่า ช่องโหว่ระดับมหากาพย์สองรายการของ PHP นี้ ถูกค้นพบโดยมี GPT ช่วย

และช่องโหว่นี้ ไม่ใช่โมเดลใหม่อะไรทำ แต่ค้นพบเมื่อไม่กี่เดือนก่อนด้วย GPT-5.6 Sol ดังนั้นทุกคนก็จินตนาการได้ว่า ถ้าเอาโมเดลภายในที่แข็งแกร่งกว่าที่ยังไม่เผยแพร่ของบริษัทโมเดลใหญ่เหล่านี้ไปสแกน โครงสร้างพื้นฐานเน็ตต่างๆ ทั่วโลก อาจมีปัญหาทั้งหมดจริงๆ...

พร้อมกัน OpenAI ครั้งนี้ก็รีบปล่อย skill หนึ่งออกมา เพื่อช่วยให้คุณตรวจพบว่าเว็บไซต์ของคุณจะได้รับผลกระทบหรือไม่

ตรงนี้หวังว่าทุกคนจะให้ความสำคัญเป็นพิเศษ หากเว็บไซต์ของคุณเองใช้ PHP หากคุณยังไม่รู้ข่าวนี้ โปรดทันทีที่เห็น รีบ รีบอัปเดตเวอร์ชันทันที และหวังว่าจะช่วยกระจายข่าวให้เพื่อนของคุณด้วย

ฉันรู้ หลายคนจะบอกว่า ก็แค่ช่องโหว่หนึ่งเอง จะตื่นตระหนกไปทำไม

ฉันว่า ถ้าจะเข้าใจว่าทำไมครั้งนี้ถึงวุ่นวายใหญ่โต ทำไมทั่วโลกถึงตอบสนองเกินเหตุ ต้องรู้ก่อนว่า PHP คืออะไร

ฉันก็ไม่ใช่ผู้เชี่ยวชาญอะไร ได้แต่ใช้ภาษาที่ฉันรู้ พยายามอธิบายให้ดีที่สุด

ก่อนอื่น เราคงรู้กันว่า คุณคลิกเปิดหน้าเว็บในเบราว์เซอร์ เซิร์ฟเวอร์ต้องคำนวณสดๆ ว่าหน้านี้ควรแสดงอะไร เช่น คุณเป็นใคร ในตะกร้ามีอะไร บทความนี้มีคอมเมนต์กี่คอมเมนต์ เป็นต้น โปรแกรมที่ทำงานนี้เรียกว่า backend

และ PHP ก็เป็นหนึ่งในภาษาที่ใช้เขียน backend บ่อยที่สุด

แต่เพราะมันเก่ามาก ตอนนี้บริษัทหลายแห่งไม่ค่อยใช้ในผลิตภัณฑ์ใหม่หรือ tech stack ใหม่แล้ว และน่าสนใจคือ PHP ในวงการโปรแกรมเมอร์ถูกล้อเลียนมาตลอด เป็นเป้าล้อเลียนมาโดยตลอด "PHP เป็นภาษาที่ดีที่สุดในโลก" เป็นมุกตลกมานานนับสิบปี หลายคนคิดว่ามันเป็นของศตวรรษที่แล้ว

แต่ทั่วโลก เว็บไซต์ที่สร้างด้วย PHP ยังคงครองสัดส่วน 70% แม้แต่ในประเทศที่ใหม่กว่าหน่อย ถึงแม้ Java จะเยอะมาก ดูจากข้อมูลเดือนตุลาคม 2026 ยังมีเว็บไซต์เกินครึ่งที่สร้างด้วย PHP

ทุกคนล้อเลียนมัน แต่พูดตรงๆ ก็ทุกคนขาดมันไม่ได้

ฟอรัมที่คุณเคยสมัคร หน้าจ่ายเงินร้านเล็ก เว็บไซต์ราชการท้องถิ่นหลายแห่ง ระบบเบิกจ่ายภายในบริษัท รวมถึงหน้า admin ของ router และ NAS ส่วนใหญ่มีตัวหนึ่งรันอยู่บน PHP

มันเหมือนท่อน้ำเก่าใต้เมือง ปกติไม่มีใครนึกถึง แต่พอแตกที ทั้งถนนพ่นขี้เต็มไปหมด

และครั้งนี้ PHP เองแตกแล้ว

ช่องโหว่ครั้งนี้มีชื่อว่า PHP2Shell Shell คือ command line ของเซิร์ฟเวอร์ ถ้าได้มันมา คุณก็ถือว่าได้สิทธิ์ควบคุมเซิร์ฟเวอร์นั้นแล้ว ดังนั้นความหมายของชื่อนี้ตรงมาก จาก PHP ตรงไปยังเซิร์ฟเวอร์ของคุณ

มันประกอบด้วยสองหมายเลข CVE-2026-109618 และ CVE-2026-109619

CVE คุณเข้าใจได้ว่าเป็นเลขบัตรประชาชนของช่องโหว่ ใช้ร่วมกันทั่วโลก

ระดับความรุนแรงใช้ CVSS ให้คะแนน เต็ม 10 ตอนแรกเวอร์ชันที่รั่วไหลได้เต็ม แต่สุดท้ายจริงๆ ให้ 9.2

จะอธิบายช่องโหว่สองรายการนี้ให้ชัด ต้องพูดถึงคอนเซปต์ที่ทุกคนเจ็บใจกันถ้วนหน้าเมื่อเร็วๆ นี้ก่อน:

หน่วยความจำ

คือตอนโปรแกรมรัน มันต้อง "ยืม" หน่วยความจำจากระบบตลอดเวลา เพื่อเก็บข้อมูลชั่วคราว แล้วใช้เสร็จก็ "คืน" กลับไป interpreter ของ PHP เขียนด้วยภาษา C ภาษา C เร็ว แต่การยืมและคืน ยังต้องอาศัยโปรแกรมเมอร์จดบัญชีเอง ระบบไม่สนใจคุณหรอก

ดังนั้นถ้าบัญชีนี้จดผิดเมื่อไหร่ เรื่องก็เกิด

ช่องโหว่แรก CVE-2026-109619 ศัพท์เทคนิคเรียกว่า "ใช้หลังปล่อย" (use-after-free)

ยกตัวอย่าง คุณเปิดโรงแรม แขกคนแรกมาฝากกระเป๋า พนักงานเอาของเขาใส่ตู้หมายเลข 18 และจดลงสมุด

ต่อมาแขกกลับ ตู้ถูกเคลียร์ เอาให้คนที่สองใช้ใหม่

ปัญหาคือ พนักงานลืมลบรายการเดิมในสมุด

คนที่สองเพิ่งเอาของตัวเองใส่ พนักงานก็ถือรายการเก่า ไปเปิดตู้ 18 ยังคิดว่าข้างในเป็นกระเป๋าของคนแรก

ตอนนี้ยุ่งละ เขาอาจเห็นของของคนที่สอง หรืออาจทำของข้างในพังได้

ปัญหาของ PHP ครั้งนี้ เกิดตรงจุดคล้ายกัน หน่วยความจำที่คืนไปแล้ว ถูกเอาไปเก็บข้อมูลใหม่ แต่ PHP ยังเก็บรายการเก่าที่ชี้ไปยังตำแหน่งเดิมไว้

ดังนั้น มันคิดว่าตัวเองกำลังจัดการข้อมูลชุดก่อน แต่จริงๆ สิ่งที่เจอกลายเป็นข้อมูลอีกชุดไปแล้ว ดังนั้น ถ้าผู้โจมตีสามารถควบคุมกระบวนการนี้อย่างแยบยล ก็มีโอกาสอ่าน แก้ไขข้อมูลที่ไม่ควรแตะ หรือแม้แต่ควบคุมเซิร์ฟเวอร์ต่อไป

นี่เรียกว่าใช้หลังปล่อย ภาษาอังกฤษเรียก Use-After-Free

เบาๆ ก็อ่านรหัสผ่าน token API key ของผู้ใช้คนอื่นในหน่วยความจำเซิร์ฟเวอร์ได้ หนักหน่อย ถ้าจัดวางหน่วยความจำอย่างดีแล้ว ก็ใช้เซิร์ฟเวอร์ของคุณรันโค้ดของตัวเองได้เลย ผลที่ตามมาก็คาดไม่ถึง

ช่องโหว่ที่สอง: การอพยพฉุกเฉินเมื่อหน่วยความจำไม่พอ นี่คือ CVE-2026-109618

ช่องโหว่นี้น่าสนใจกว่า เรายังใช้โรงแรมเป็นตัวอย่าง

สมมติโรงแรมมีจุดฝากกระเป๋า ทุกครั้งที่แขกมาฝาก พนักงานต้องบวกจำนวนในสมุดลงทะเบียนก่อน 1 แล้วค่อยเอาของใส่ตู้

9 ชิ้นแรกผ่านฉลุย มาถึงชิ้นที่ 10 พนักงานเพิ่งเปลี่ยนจำนวนจาก 9 เป็น 10 กำลังจะวางกระเป๋า

ทันใดนั้น ไฟดับ ทำให้กระเป๋ายังไม่ทันใส่ ระบบทั้งหมดถูกบังคับให้หยุดชะงัก

แล้วเรื่องที่เหลือเชื่อยิ่งกว่าก็มา โรงแรมเริ่มโปรแกรมทำความสะอาดฉุกเฉิน เจ้าหน้าที่ทำความสะอาดถือสมุดลงทะเบียนมาดู: วันนี้ฝากของทั้งหมด 10 ชิ้น

จึงตรวจทีละชิ้นตามจำนวนในสมุด

แต่ปัญหาคือ กระเป๋าชิ้นที่ 10 ไม่ได้ใส่เข้าไปเลย ตำแหน่งนั้นข้างในอาจเป็นของเก่ารกๆ

แต่เจ้าหน้าที่ทำความสะอาดจะรู้ได้ไง ก็ไม่สนใจ จัดการตามสมุดเหมือนเป็นกระเป๋าปกติ

ตอนนี้ ระบบทั้งหมดก็อาจมีปัญหาได้

ช่องโหว่ที่สองของ PHP ครั้งนี้ หลักการคล้ายกัน

ตอนมันจัดระเบียบข้อมูล มันจะบวกจำนวนก่อน 1 แล้วค่อยเก็บข้อมูลจริง ถ้าบังเอิญหน่วยความจำหมดระหว่างสองขั้นตอนนี้พอดี PHP ก็จะหยุดการทำงานฉุกเฉิน

แต่โปรแกรมทำความสะอาดที่ตามมา ยังคงจัดการข้อมูลตามจำนวนที่บวก 1 ไปแล้ว

ผลคือ อาจเอาหน่วยความจำที่ไม่ได้ initialize อย่างถูกต้อง มาใช้เป็นข้อมูลปกติ

ถ้าผู้โจมตีสามารถสร้างสถานการณ์นี้อย่างแยบยล ก็มีโอกาสควบคุมเซิร์ฟเวอร์ต่อไป

และที่น่ากลัวที่สุดคือ ในการตั้งค่าเซิร์ฟเวอร์บางแบบ กระบวนการนี้สามารถเกิดขึ้นก่อนที่โค้ดธุรกิจของเว็บไซต์เองจะเริ่มรันด้วยซ้ำ

เว็บไซต์ที่คุณเขียนเองระวังแค่ไหน ก็อาจไม่มีโอกาสได้ลงมือเลย

เกี่ยวกับคนทั่วไปไหม? แน่นอน คอมพิวเตอร์และมือถือของคุณเองไม่ได้รับผลกระทบ สิ่งที่ได้รับผลกระทบคือเว็บไซต์ที่คุณเคยใช้ ถ้าเว็บเล็กๆ ที่ไม่มีคนดูแลถูกแฮ็ก บัญชี รหัสผ่าน เบอร์โทร และข้อมูลทั้งหมดที่คุณทิ้งไว้บนนั้น ก็อาจรั่วไหลตามไปด้วย

นี่ก็เป็นเหตุผลที่วิศวกรหลายคนสองวันนี้พูดอีกว่า ภาษา C ที่หน่วยความจำต้องพึ่งคนจัดการทั้งหมด ไม่ช้าก็เร็วต้องเกิดเรื่องแบบนี้ ภาษา memory-safe อย่าง Rust ป้องกันไม่ให้คุณทำผิดแบบนี้ตั้งแต่ขั้นตอน compile ดังนั้น OpenAI ครั้งนี้ถึงสนับสนุนมูลนิธิ Rust โดยเฉพาะ ไม่ใช่ไม่มีเหตุผล

กลับมาที่ช่องโหว่สองรายการนี้ ถ้าย้อนดูประวัติศาสตร์ เราจะพบว่าช่องโหว่สองรายการนี้ไม่ใช่ของใหม่เลย

ปี 2004 นักวิจัยความปลอดภัยชาวเยอรมัน Stefan Esser ค้นพบช่องโหว่ระยะไกลตัวแรกของ PHP ที่เกี่ยวกับขีดจำกัดหน่วยความจำ ตอนนั้นวิธีใช้ประโยชน์จากการโจมตีแบบนี้ยังไม่เปิดเผย มีเพียงบริษัทความปลอดภัยไม่กี่แห่งถือเป็นความลับ

ปัญหานี้แก้แล้วจริง แต่พี่น้องของมัน ยังอยู่

ปี 2024 มูลนิธิ PHP ได้รับเงินสนับสนุนจาก Sovereign Tech Agency ของเยอรมนี ผ่านการประสานงานของ OSTIF จ้างบริษัทความปลอดภัยฝรั่งเศส Quarkslab ทำการตรวจสอบความปลอดภัยภายนอกให้ PHP ครั้งแรกในรอบหลายปี

ตอนแก้ปัญหาหนึ่ง นักพัฒนาหลักคนหนึ่งที่มูลนิธิจ้างพบช่องโหว่คล้ายกัน เขาคิดในทางทฤษฎีว่าน่าจะใช้ประโยชน์ได้ แต่พูดตรงๆ เขาก็หาเส้นทางการโจมตีที่ชัดเจนไม่ได้

แล้วแผนการแก้ก็ถูกยืดเยื้อไปเรื่อย ทีมความปลอดภัยถกเถียงกันไปมาระหว่างหลายแนวทาง หยุดแล้วเริ่ม เริ่มแล้วหยุด ต่อมามูลนิธิ PHP ยอมรับในบทสรุปว่า นี่คือ "ความล้มเหลวเชิงโครงสร้าง" ที่เกิดจากกระบวนการตัดสินใจและกำลังคนไม่พอของทีมความปลอดภัย

แล้วก็มาถึงปี 2026

เดือนพฤษภาคมปีนี้ บริษัทความปลอดภัย Calif ที่โผล่ตอนต้น จัดซีรีส์ชื่อ "เดือน AI ค้นพบช่องโหว่" บทความหนึ่งใช้ Claude ขุดพบช่องโหว่หน่วยความจำอายุ 21 ปีใน PHP

จากนั้น AI เร่งความเร็วต่อ อย่างหยุดไม่อยู่

วันที่ 30 กรกฎาคม Calif เริ่มตรวจสอบ PHP ในโครงการความปลอดภัย "Patch the Planet" ของ OpenAI

เพียง 2 วัน วันที่ 1 สิงหาคม พวกเขาพบทางเข้าแรกที่ trigger "หน่วยความจำหมด" ได้

วันที่ 11 สิงหาคม Calif รายงานช่องโหว่ให้ PHP วันเดียวกัน นักวิจัยของ OpenAI เองก็รายงานปัญหาเดียวกันโดยอิสระ

วันที่ 15 สิงหาคม PHP ยืนยันว่า การสาธิตการโจมตีที่ Calif ส่งมา รันได้จริง

วันที่ 24 สิงหาคม และ 18 กันยายน บริษัทความปลอดภัย Wiz และ OpenAI รายงานเส้นทางการโจมตีเพิ่มเติมตามลำดับ

เพราะช่องโหว่สองรายการนี้ส่งผลกระทบใหญ่เกินไป เกี่ยวข้องกับชั้นล่างของ PHP จึงเริ่มจัดระเบียบพันธมิตรทั่วโลก ร่วมกันแก้ไข ผู้ให้บริการคลาวด์ ผู้จัดจำหน่ายระบบ บริษัทความปลอดภัย ต้องเตรียมตัวล่วงหน้า ไม่งั้นการเปิดเผยช่องโหว่อาจสร้างโอกาสให้ผู้โจมตีแทน

นี่คือการเปรียบเทียบที่เห็นเลือด 2024 นักพัฒนาหลักคนหนึ่งหานานก็หาวิธีใช้ประโยชน์จากช่องโหว่นี้ไม่เจอ 2026 จากเริ่มตรวจสอบจนเจอทางเข้าแรก ใช้เวลาแค่สองวัน

และเรื่องที่เหลือเชื่อยิ่งกว่าคือ

อินเทอร์เน็ตทั้งหมด ตั้งอยู่บนโค้ดที่ไม่มีใครจ่ายเงิน และแทบไม่มีใครดูจริงจัง

ครั้งนี้ก็เหมือนกัน มูลนิธิ PHP เองยอมรับว่า ปัญหาหน่วยความจำนี้มีเค้าตั้งแต่ปี 2024 ที่ยืดเยื้อมาถึงวันนี้ เหตุผลสำคัญคือคนไม่พอ ตอนท้ายบทสรุป พวกเขาเกือบจะขอความช่วยเหลือ หวังให้บริษัท ผู้ให้บริการโฮสต์ และรัฐบาลมาสนับสนุน

บน Hacker News มีคนขุดพบหน้าสนับสนุนของ maintainer ที่รับผิดชอบแพ็กเกจ PHP บน Debian บ่นว่า เดือนหนึ่งได้ไม่ถึง 700 ดอลลาร์?

และเซิร์ฟเวอร์ทั่วโลก จริงๆ แล้ว กำลังรอให้คนเหล่านี้ตื่นมากลางดึกเพื่อ release เวอร์ชัน

แต่ถ้าซอฟต์แวร์พื้นฐานพวกนี้เปราะบางขนาดนี้ ทำไมหลายปีที่ผ่านมา อินเทอร์เน็ตโดยรวมยังปกติดี?

เหตุผลง่ายมาก เหมือนกับ REA reverse engineering ที่ดังมากเมื่อไม่นานมานี้

เพราะการหาช่องโหว่แพงเกินไป

เหมือนกับซอฟต์แวร์เชิงพาณิชย์หลายตัวที่คนไม่อยาก reverse การป้องกันของซอฟต์แวร์เชิงพาณิชย์หลายตัว มาจากการที่คนอื่นไม่เข้าใจ และขี้เกียจใช้เวลาศึกษา

การหาช่องโหว่ก็เหมือนกัน คนที่สามารถหาและใช้ประโยชน์จากช่องโหว่หน่วยความจำใน PHP core, OpenSSL พวกนี้ได้ ทั่วโลกอาจมีแค่ไม่กี่ร้อยคน

เวลาของพวกเขาแพง ช่องโหว่หนึ่งต้องขัดเกลาหลายเดือน ดังนั้นระเบิดหลายลูก ถึงฝังเงียบๆ ได้ยี่สิบปี เพราะไม่มีใครอยากไปยุ่งกับมันจริงๆ ต้นทุนสูงเกินไป

แต่ AI ทำให้ "ความแพง" ทั้งหมดในโลกที่ผ่านมา กลายเป็นไม่มีเหลือ

Anthropic เพิ่งประกาศเดือนนี้ว่า ตั้งแต่พฤศจิกายนปีที่แล้วถึงต้นตุลาคมปีนี้ โมเดลของมันพบเบาะแสช่องโหว่ที่เป็น candidate ทั้งหมด 29,439 รายการในโปรเจกต์โอเพนซอร์ส

OpenAI ในบทความยาวคืนนี้ก็บอกว่า ช่องโหว่สองรายการของ PHP นี้เป็นเพียงหนึ่งในช่องโหว่ร้ายแรงหลายรายการที่พวกเขาพบแล้วและกำลังแก้ ในอีกไม่กี่เดือนข้างหน้า "การค้นพบแบบนี้จะเพิ่มขึ้นอย่างรวดเร็ว"

PHP2Shell ไม่ใช่จุดจบ แค่จุดเริ่มต้น เรื่องแบบนี้ ต่อไปต้องมากขึ้นเรื่อยๆ แน่นอน

แต่ตอนนี้ BUG ที่เป็นแกนที่สุดก็โผล่มา เหมือนคณิตศาสตร์ การพิสูจน์และค้นพบทางคณิตศาสตร์เร็วขึ้นเรื่อยๆ แต่คอขวดหลักไปอยู่ที่การตรวจสอบ เมื่อไม่นานมานี้ OpenAI ปล่อยบทความวิชาการ 700 กว่าฉบับ ถ้าให้นักคณิตศาสตร์ทั่วโลกมาตรวจสอบว่าถูกต้อง ต้องใช้เวลาอย่างน้อยหลายเดือนหรือเป็นปี

ความปลอดภัยไซเบอร์ก็เหมือนกัน การค้นพบช่องโหว่ของ PHP นี้ ใช้เวลาแค่ 2 วัน

แต่การแก้ไข ใช้เวลาสองเดือนเต็มๆ

การค้นพบช่องโหว่จะมากขึ้นเรื่อยๆ แต่คนที่แก้ช่องโหว่ชั้นล่างพวกนี้ได้ ไม่มีมากขนาดนั้น

นี่เหมือนคำโบราณที่เราพูดกัน

"มีแต่โจรที่เฝ้าขโมยพันวัน ไม่มีใครเฝ้ากันโจรได้พันวัน"

ฉันนึกถึงเรื่องหนึ่งขึ้นมาทันใด

ปี 1871 Lewis Carroll ผู้เขียน "Alice in Wonderland" ออกภาคต่อ "Through the Looking-Glass" ในหนังสือมีราชินีแดง จูงอลิซวิ่งสุดชีวิต วิ่งไปนาน อลิซพบว่าทิวทัศน์รอบข้างไม่เปลี่ยนเลย

ราชินีแดงบอกเธอว่า "ที่นี่ เธอต้องวิ่งสุดแรง ถึงจะอยู่กับที่ได้"

นี่เหมือนกับทางตันที่ AI นำมาสู่สังคมตอนนี้

ไม่ใช่แค่ความปลอดภัย การค้นพบทางวิทยาศาสตร์เร่งขึ้น การเขียนโค้ดเร่งขึ้น การทำซ้ำซอฟต์แวร์เร่งขึ้น การโจมตีเร่งขึ้น การป้องกันก็เร่งขึ้น สิ่งที่ดีและสิ่งที่ไม่ดี เร่งกันอย่างบ้าคลั่งพร้อมกัน

และเราทุกคน อยู่ในสนามแข่งของราชินีแดงนี้

ราคาของการหยุด คือเว็บไซต์เก่าๆ ที่ไม่มีใครจำ แบ็กเอนด์ที่สร้างเสร็จเมื่อ 15 ปีก่อนแล้วไม่เคยล็อกอินอีก ระบบบริษัทที่ยังรัน PHP 5 พวกมันอยู่ในโลกช้าได้อย่างสงบหลายปี แต่ในโลกเร็ว คือเป้านิ่ง

เชื่อฉันเถอะ โลกนี้ต้องมีโปรเจกต์ PHP เก่าที่ไม่ maintain แล้วจำนวนนับไม่ถ้วน ตอนนี้พวกมันเป็นเป้าหมด

คนวิ่งสู้ AI ไม่ได้ เรื่องนี้ไม่ต้องเถียงแล้ว

แต่ในเรื่องทั้งหมด ทุกจุดตัดสินใจสำคัญ คนยังยืนอยู่ตรงนั้น

มีทั้งคนดีและคนร้าย

ตอนนี้ เครื่องมือที่ทำได้ทุกอย่างนี้ ถูกส่งถึงมือทุกคนแล้ว

ความดีจะชนะความชั่วไหม?

AI ทำให้มนุษย์มีพลังที่เมื่อก่อนยากจะจินตนาการได้ในชั่วข้ามคืน แต่ไม่สามารถทำให้มนุษย์เรียนรู้ความยับยั้งชั่งใจที่คู่ควรกับพลังนี้ได้ในชั่วข้ามคืน

เมื่อความเร็วของความก้าวหน้าทางเทคโนโลยี

เหนือกว่าความเร็วที่มนุษย์จะเติบโตทางจิตใจ

เรากำลังวิ่งไปสู่โลกที่ดีกว่า หรือกำลังเร่งวิ่งสู่เหวลึกของตัวเอง?

พูดตรงๆ ตอนนี้ฉันไม่รู้แล้ว