PHP Foundation เผยปัญหาช่องโหว่ร้ายแรงและการแก้ไขที่ยากลำบาก

black and red computer keyboard — Michelle Ding / Unsplash

PHP Foundation ได้เปิดเผยถึงช่องโหว่ร้ายแรงสองรายการที่พบใน PHP ซึ่งมีการระบุปัญหาบางอย่างตั้งแต่ปี 2024 แต่การแก้ไขกลับใช้เวลานานเนื่องจากการขาดแคลนทรัพยากร การจัดทำข้อมูลเพื่อเปิดเผยแก่สาธารณะเกิดความยุ่งเหยิงเมื่อข้อมูลหลุดก่อนการประกาศอย่างเป็นทางการ

เมื่อวันที่ 21 ตุลาคม 2026 ได้มีการปล่อยอัปเดตเพื่อแก้ไขช่องโหว่ที่สามารถทำให้รหัสถูกดำเนินการโดยไม่มีการตรวจสอบซึ่งรวมถึง "CVE-2026-109618" และ "CVE-2026-109619" โดยทาง PHP Foundation เรียกร้องให้ผู้ใช้งาน PHP อัปเดตซอฟต์แวร์ทันที

ปัญหาที่พบมีความเกี่ยวข้องกับการจัดการหน่วยความจำและการจัดการข้อผิดพลาด ซึ่งเป็นส่วนสำคัญที่มีผลกระทบในเกือบทุกคำขอ ส่งผลให้มีความร้ายแรงและการแก้ไขที่ซับซ้อนเนื่องจากต้องมีการประสานงานระหว่างผู้เกี่ยวข้องหลายฝ่าย

การระบุปัญหาของ "CVE-2026-109618" เกิดขึ้นระหว่างการตรวจสอบภายนอกในปี 2024 ขณะที่มีการแก้ไขปัญหาอื่น ๆ ที่ถูกชี้แจงในเวลานั้น แม้ว่าจะมีการคาดการณ์ถึงความเป็นไปได้ในการถูกนำไปใช้ในทางที่ผิด แต่เส้นทางการโจมตียังไม่เป็นที่ทราบแน่ชัด