CDNetworks Releases WAF Protection for php2shell (CVE-2026-109618 and CVE-2026-109619)
อ้างอิง: CDNetwork Cloud Security Last updated on October 22, 2026
เมื่อวันที่ 21 ตุลาคม 2026 มีการเปิดเผยช่องโหว่ร้ายแรงด้าน Remote Code Execution (RCE) สองรายการใน PHP core runtime คือ CVE-2026-109618 และ CVE-2026-109619 (เรียกรวมกันว่า "php2shell") ทั้งสองรายการมีคะแนน CVSS v4.0 อยู่ที่ 9.2 และอาจทำให้ผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตนสามารถรันโค้ดตามอำเภอใจ เข้าถึงข้อมูลสำคัญ หรือทำให้บริการหยุดชะงักได้
ผลกระทบ
ช่องโหว่เป็นข้อบกพร่องด้านการจัดการหน่วยความจำใน PHP เอง ดังนั้นเว็บไซต์ที่ใช้ PHP ที่รันเวอร์ชันได้รับผลกระทบอาจมีความเสี่ยง รวมถึง WordPress และ Drupal
การโจมตีสามารถเกิดขึ้นได้ผ่าน HTTP request ที่ถูกสร้างขึ้นมาเป็นพิเศษ เช่น การอัปโหลดแบบ multipart/form-data ที่เกี่ยวข้องกับฟีเจอร์ session.upload_progress ของ PHP
การป้องกันจากผู้ให้บริการ
CDNetworks ได้ออก WAF Rule ID 9657 เพื่อตรวจจับและบล็อกความพยายามโจมตี
ลูกค้าควรตรวจสอบว่าเปิดใช้งานกฎนี้แล้ว และ WAF อยู่ในโหมด Block สำหรับลูกค้าที่ใช้โหมดเฝ้าระวังอย่างเดียว (monitoring-only) ควรติดต่อฝ่ายสนับสนุนทางเทคนิค
ขั้นตอนที่แนะนำ
ระบุสินทรัพย์ที่ได้รับผลกระทบ: ตรวจสอบเวอร์ชัน PHP บนเว็บเซิร์ฟเวอร์ PHP-FPM, Apache, container image, สคริปต์ CLI และโปรเซสที่รันต่อเนื่องยาวนาน โดยเฉพาะ PHP 8.1 และเวอร์ชันก่อนหน้าที่หมดระยะการสนับสนุนแล้ว
ติดตั้งแพตช์: อัปเกรดเป็น PHP 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 ตามเวอร์ชันที่ใช้งานอยู่
ตรวจสอบผลการแก้ไข: รีสตาร์ตบริการ สร้าง container image ใหม่ และยืนยันเวอร์ชันที่โปรเซสจริงบน production ใช้งานอยู่ เนื่องจากเวอร์ชันที่แสดงจาก php -v อาจไม่ตรงกับเวอร์ชันที่ให้บริการเว็บจริง
มาตรการป้องกันชั่วคราว: จำกัดการเข้าถึงจากภายนอกที่ไม่จำเป็น และคง WAF ไว้ในโหมด Block ไม่ควรพึ่งพา disable_functions หรือ open_basedir เป็นมาตรการบรรเทา
สรุป: WAF ช่วยลดความเสี่ยงจากการถูกโจมตีได้ แต่การอัปเกรดเป็น PHP เวอร์ชันที่แก้ไขแล้วเป็นวิธีเดียวที่แก้ปัญหาได้อย่างสมบูรณ์
