CISA แนะนำให้แก้ไขช่องโหว่ PHP ด่วน

A black smartphone with a blank white screen on a light wooden surface — Vojtech Bruzek / Unsplash

หน่วยงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้ออกคำแนะนำให้ดำเนินการแก้ไขช่องโหว่ร้ายแรง 2 รายการในภาษาโปรแกรม "PHP" ทันที โดยหากไม่สามารถอัปเดตได้ ให้พิจารณานำระบบออกจากออนไลน์

คำเตือนดังกล่าวถูกประกาศเมื่อวันที่ 21 ตุลาคม 2026 โดยช่องโหว่ที่เรียกว่า "php2shell" ซึ่งได้แก่ "CVE-2026-109618" และ "CVE-2026-109619" ส่งผลกระทบต่อสภาพแวดล้อมทั้งหมดที่ใช้ "PHP" ในการจัดการคำขอจากเว็บไซต์ และมีความเสี่ยงที่โค้ดที่ไม่ประสงค์ดีอาจถูกดำเนินการจากระยะไกลโดยไม่ต้องการการตรวจสอบสิทธิ์

ขณะนี้ยังไม่มีการสังเกตเห็นการใช้ช่องโหว่เหล่านี้ แต่ CISA แนะนำให้ตรวจสอบการใช้งาน "PHP" ในองค์กรและอัปเดตไปยังเวอร์ชันที่แก้ไขแล้ว ได้แก่ "PHP 8.5.12" "8.4.27" "8.3.36" และ "8.2.35"

CISA ได้กระตุ้นให้ให้ความสำคัญกับระบบที่เชื่อมต่อกับอินเทอร์เน็ตและระบบที่รวม "PHP" โดยแนะนำให้ใช้ไฟร์วอลล์แอปพลิเคชันเว็บ (WAF) เพื่อความปลอดภัยแม้ว่าการอัปเดตไปยังเวอร์ชันที่แก้ไขแล้วจะเป็นทางเลือกที่ดีที่สุด