ช่องโหว่ความปลอดภัย PHP2Shell ถูกโจมตีได้สำเร็จในสภาพแวดล้อมจริง

person using MacBook Pro — Campaign Creators / Unsplash

ช่องโหว่การรันรหัสจากระยะไกลระดับวิกฤตสองรายการ ซึ่งระบุรหัสเป็น CVE-2026-109618 และ CVE-2026-109619 และถูกติดตามร่วมกันในชื่อ PHP2Shell ได้ถูกนำไปใช้โจมตีได้สำเร็จในสภาพแวดล้อมจริง

การตรวจพบกิจกรรมที่เป็นอันตรายนี้เกิดขึ้นโดยหัวหน้าฝ่ายการตรวจจับและการตอบสนองของ Perplexity ซึ่งใช้ระบบล่อเป้าบันทึกหลักฐานการรันรหัสจากระยะไกลที่ได้รับการยืนยันต่อการติดตั้ง Apache mod_php ที่รัน PHP 8.4.26 โดยหลักฐานแสดงให้เห็นถึงการเปิดเผยหน่วยความจำที่ใช้งานได้ และมีการส่งข้อมูลคุกกี้ที่ถอดรหัสแล้วขนาด 800 กิโลไบต์ ซึ่งผลลัพธ์นี้ได้รับการยืนยันโดยนักวิจัยภัยคุกคามจาก Expel

ทีมความปลอดภัยของ PHP ได้ออกแพตช์แก้ไขช่องโหว่ PHP2Shell เมื่อวันพุธที่ 21 ตุลาคม หลังจากแจ้งให้ผู้ดูแลระบบเตรียมติดตั้งการอัปเดตความปลอดภัยก่อนหน้านั้นหนึ่งวัน แม้ว่ารายละเอียดของช่องโหว่และรหัสการพิสูจน์แนวคิดบางส่วนจะรั่วไหลสู่สาธารณะก่อนการออกแพตช์ แต่ทีมความปลอดภัยระบุว่าสิ่งเหล่านั้นไม่สามารถใช้งานได้จริง

ก่อนหน้านี้ บริษัทความปลอดภัยหลายแห่ง ได้แก่ Cloudflare, Hadrian, watchTowr, Previdian และ Patchstack รวมถึงนักวิจัยจาก Amazon Threat Intelligence ได้ตรวจพบความพยายามในการโจมตี แต่ระบุว่าไม่ประสบความสำเร็จ โดยกิจกรรมจำกัดอยู่เพียงการสแกน การระบุลักษณะระบบ และการใช้เครื่องมือโจมตีที่ใช้งานไม่ได้

นอกจากนี้ ทีมความปลอดภัยของ PHP ยังได้แบ่งปันมาตรการบรรเทาผลกระทบสำหรับช่องโหว่การรันรหัสจากระยะไกลรายการใหม่ รหัส CVE-2026-115560 ซึ่งยังไม่มีแพตช์แก้ไข และจะโจมตีได้เฉพาะระบบที่มีการกำหนดค่าและรหัสแอปพลิเคชันที่ผิดปกติเท่านั้น โดยแนะนำให้ผู้ดูแลระบบตั้งค่า session.upload_progress.enabled=0 เพื่อสกัดกั้นการโจมตีที่อาจเกิดขึ้น