ช่องโหว่ระดับสูง 2 รายการใน PHP ได้คะแนน CVSS 9.2 ทั้งคู่ SlowMist แนะนำโปรเจกต์ Web3 อัปเกรดทันที

Odaily News: ทีมความปลอดภัย SlowMist เผยแพร่รายงานระบุว่า ช่องโหว่ระดับสูง CVE-2026-109618 และ CVE-2026-109619 ที่ PHP เปิดเผยเมื่อเร็วๆ นี้ กำลังสร้างความเสี่ยงต่อโครงสร้างพื้นฐานนอกเชนของอุตสาหกรรม Web3 ช่องโหว่ทั้งสองมีคะแนน CVSS v4.0 อยู่ที่ 9.2 คะแนน ผู้โจมตีไม่จำเป็นต้องใช้บัญชี รหัสผ่าน หรือ API Key เพียงส่งคำขอที่สร้างขึ้นเป็นพิเศษไปยังบริการ PHP ที่เปิดเผยต่ออินเทอร์เน็ตสาธารณะ ก็อาจสามารถรันโค้ดใดๆ ก็ได้ด้วยสิทธิ์ของโปรเซสเว็บเซอร์วิส

ช่องโหว่ส่งผลกระทบต่อ PHP ทุกเวอร์ชันตั้งแต่ 5.4 ถึง 8.5.11 และรายละเอียดของช่องโหว่ได้รั่วไหลก่อนที่แพตช์อย่างเป็นทางการจะเผยแพร่ ทีมข่าวกรองภัยคุกคามของ Amazon สังเกตเห็นความพยายามใช้ประโยชน์จริงก่อนการเปิดเผยต่อสาธารณะ 4 วัน จากการสแกนของระบบข่าวกรองภัยคุกคาม MistEye ของ SlowMist พบว่าในโดเมนที่เกี่ยวข้องกับคริปโทเคอร์เรนซี 1,488 โดเมนที่ทำการสถิติ มี 793 โดเมนที่มีลายนิ้วมือ PHP โดยตรง คิดเป็นสัดส่วนประมาณ 53.3%

โครงสร้างพื้นฐานนอกเชนที่ได้รับผลกระทบ ได้แก่ หน้าเว็บส่วนหน้าของโปรเจกต์ Web3 อินเทอร์เฟซ API หน้าเว็บรับแอร์ดรอป ระบบหลังบ้านสำหรับปฏิบัติการ และบริการกระเป๋าเงินแบบ托管 เป็นต้น หากผู้โจมตีใช้ช่องโหว่ PHP โจมตีเซิร์ฟเวอร์เว็บไซต์ของโปรเจกต์ได้สำเร็จ อาจแก้ไขหน้าเว็บส่วนหน้าและหลอกล่อให้ผู้ใช้ลงนามธุรกรรมที่เป็นอันตราย เพื่อขโมยสินทรัพย์

ทางการได้เผยแพร่เวอร์ชัน PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 แล้ว โปรเจกต์ที่เกี่ยวข้องควรอัปเกรดเป็นเวอร์ชันล่าสุดที่สอดคล้องกัน PHP 8.1 และเวอร์ชันก่อนหน้าได้ยุติการสนับสนุนตามปกติจากต้นน้ำแล้ว ควรย้ายระบบโดยเร็วที่สุด มาตรการบรรเทาผลกระทบชั่วคราวที่ใช้เมื่อไม่สามารถอัปเกรดได้ทันทีสามารถลดความเสี่ยงของเส้นทางการโจมตีเฉพาะได้เท่านั้น การใช้แพตช์ยังคงเป็นวิธีแก้ปัญหาที่สมบูรณ์