ช่องโหว่ PHP สะเทือน ความมั่นคงไซเบอร์ (PHP Vulnerabilities Threaten Cybersecurity)

ช่องโหว่นี้มีมานานหลายปีและอาจเปิดทางให้ผู้ไม่หวังดี เข้าถึง แก้ไข เว็บไซต์ หรือขโมยข้อมูลได้ 

เหตุการณ์ดังกล่าวทำให้เว็บไซต์หลายแห่งต้องปิดให้บริการชั่วคราว รวมถึงเว็บไซต์หน่วยงานรัฐบาลบางแห่งในหลายประเทศ เพื่อดำเนินการแก้ไขช่องโหว่ดังกล่าว

ผู้ให้บริการโทรคมนาคมรายใหญ่ของญี่ปุ่น ล่าสุดบริษัทได้ระงับการให้บริการแจ้งเตือนภัยพิบัติฉุกเฉินเป็นการชั่วคราว หลังตรวจพบช่องโหว่ด้านความปลอดภัยในภาษาโปรแกรม PHP ซึ่งเป็นสาเหตุที่ทำให้ต้องหยุดให้บริการดังกล่าว บริษัทมีแผนกลับมาเปิดให้บริการอีกครั้งหลังดำเนินการปรับปรุงระบบเรียบร้อยแล้ว 

ระหว่างที่ระงับบริการ โทรศัพท์มือถือและสมาร์ตโฟนจะไม่ส่งเสียงแจ้งเตือน แม้มีการคาดการณ์ว่าจะเกิดแผ่นดินไหวรุนแรงก็ตาม ทางบริษัทจึงขอให้ลูกค้าใช้แอปพลิเคชันแจ้งเตือนภัยพิบัติอื่นๆ เพื่อรับข้อมูลเตือนภัยในช่วงที่ระบบยังไม่สามารถใช้งานได้ 

โดยระบบแจ้งเตือนฉุกเฉินดังกล่าวไม่ได้ให้ข้อมูลเฉพาะแผ่นดินไหวและสึนามิเท่านั้น แต่ยังครอบคลุมการแจ้งข่าวภัยพิบัติและคำแนะนำในการอพยพด้วย

แม้จะเป็นระบบแจ้งเตือนภัยพิบัติฉุกเฉินที่มีความสำคัญในสถานการณ์ไม่ปกติ แต่ก็จำเป็นต้องระงับการใช้งานชั่วคราว เนื่องจากตรวจพบช่องโหว่ด้านความปลอดภัยในภาษาโปรแกรม PHP

PHP นั้นสำคัญไฉน

PHP หรือ Hypertext Preprocessor เป็นภาษาโปรแกรมแบบโอเพนซอร์สที่เปิดให้ทุกคนดาวน์โหลดและนำไปประยุกต์ใช้ได้ฟรี โดยมีมูลนิธิ PHP Foundation ซึ่งเป็นองค์กรไม่แสวงหากำไรดูแลการพัฒนา ร่วมกับทีมอาสาสมัครและนักพัฒนาจำนวนหนึ่ง

PHP ทำหน้าที่ประมวลผลและเชื่อมโยงองค์ประกอบต่าง ๆ ของเว็บไซต์ เช่น รูปภาพ ลิงก์ และการแสดงผล เพื่อให้ผู้ใช้สามารถเข้าถึงและใช้งานเว็บไซต์ผ่านเบราว์เซอร์ได้ PHP เปรียบเสมือน “ครัวหลังร้าน” ของภัตตาคาร หรือเว็บไซต์จะทำให้เข้าใจได้ง่ายขึ้นว่า

ทำไมช่องโหว่ของ PHP จึงส่งผลกระทบต่อเว็บไซต์ได้ แม้ลูกค้าจะไม่เคยเห็น PHP เลยก็ตาม

บริษัทด้านความปลอดภัยไซเบอร์ที่ร่วมตรวจพบช่องโหว่ ประเมินว่าเว็บไซต์ทั่วโลกราว 70% ใช้ PHP ขณะที่ W3Techs ผู้ให้บริการติดตามเทคโนโลยีเว็บไซต์ประเมินตัวเลขไว้ที่ 75% การใช้งานอย่างแพร่หลายทำให้ PHP เป็นเทคโนโลยีพื้นฐานสำคัญของอินเทอร์เน็ต การพบช่องโหว่ก็ส่งผลกระทบเป็นวงกว้างทั่วโลกได้

เจาะปมช่องโหว่

เหตุช่องโหว่ร้ายแรงใน PHP หรือที่เรียกว่า PHP2Shell นักวิจัยจากบริษัทความปลอดภัยไซเบอร์ เปิดเผยว่า พบช่องโหว่ 2 จุดใน PHP ระหว่างเข้าร่วมโครงการของ OpenAI ที่ใช้ค้นหาจุดอ่อนด้านความปลอดภัยบนอินเทอร์เน็ต โดยใช้ AI ช่วยตรวจสอบโค้ด หลังพบว่ามีช่องโหว่ในส่วนเดียวกันเมื่อหลายปีก่อน

ช่องโหว่ดังกล่าวเกี่ยวข้องกับการจัดการหน่วยความจำและข้อผิดพลาด ซึ่งอาจเปิดทางให้แฮกเกอร์เข้าถึงเว็บไซต์ ติดตั้งมัลแวร์ ลบหรือแก้ไขเนื้อหา รวมถึงขโมยข้อมูลสำคัญอย่างรหัสผ่านได้ บริษัทความปลอดภัยไซเบอร์ระบุว่า ช่องโหว่นี้มีมานานกว่าสิบปี

ขณะที่ PHP Foundation ยอมรับว่า ความล่าช้าในการแก้ไขปัญหาเกิดจากข้อจำกัดด้านทรัพยากรและกระบวนการตัดสินใจของทีมรักษาความปลอดภัย

ช่องโหว่นี้เปรียบได้กับกรณีที่ผู้ผลิตกุญแจประตูรายใหญ่พบว่า มีกุญแจผีที่สามารถใช้ไขประตูที่บริษัทผลิตได้ ทำให้ผู้ไม่หวังดีสามารถเข้าถึงพื้นที่ที่ควรมีการรักษาความปลอดภัย

ช่องโหว่ทั้งสองได้รับคะแนนความรุนแรง 9.2 จาก 10 ตามระบบ Common Vulnerability Scoring System (CVSS) ซึ่งจัดอยู่ในระดับร้ายแรงมาก ส่งผลให้เว็บไซต์ของหน่วยงานรัฐบาลและบริษัททั่วโลกต้องปิดให้บริการชั่วคราวเพื่อแก้ไขปัญหา

อุดช่องโหว่ PHP หยุดภัยไซเบอร์

PHP Foundation เผยแพร่แพตช์แก้ไขช่องโหว่แล้ว พร้อมเรียกร้องให้ผู้ดูแลเว็บไซต์ที่ใช้ PHP ติดตั้งอัปเดตโดยเร็วที่สุด

หน่วยงานความมั่นคงปลอดภัยไซเบอร์และรัฐบาลหลายประเทศ ต่างออกมาเตือนให้เร่งดำเนินการเช่นกัน เว็บไซต์หลายแห่งในแคนาดา ฝรั่งเศส และญี่ปุ่น รวมถึงเว็บไซต์หน่วยงาน ต้องปิดให้บริการชั่วคราวระหว่างแก้ไขช่องโหว่ 

หน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ในหลายประเทศออกประกาศเตือนระดับวิกฤติ พร้อมเร่งให้หน่วยงานภาครัฐและเอกชนตรวจสอบระบบและติดตั้งแพตช์ความปลอดภัยโดยทันที

ช่องโหว่ดังกล่าวอาจเปิดทางให้ผู้โจมตีสั่งรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ที่ได้รับผลกระทบได้โดยไม่ต้องผ่านการยืนยันตัวตน

ขณะที่หน่วยงานด้านไซเบอร์ของสำนักงานความมั่นคงแห่งชาติสหรัฐฯ (NSA) แนะนำให้องค์กรที่ยังไม่สามารถติดตั้งแพตช์ได้ทันที ปิดเว็บไซต์ไว้ก่อนจนกว่าจะแก้ไขเสร็จ

นอกจากนั้นหลังมีการเปิดเผยช่องโหว่ Cloudflare พบความพยายามโจมตีหลายหมื่นครั้งภายใน 45 นาที และเพิ่มเป็นหลายแสนครั้งภายใน 2 ชั่วโมง

องค์กรควรเร่งประสานผู้ดูแลระบบเว็บไซต์ให้อัปเดต PHP เป็นเวอร์ชันที่แก้ไขช่องโหว่แล้วโดยเร็ว พร้อมตรวจสอบระบบเพื่อหาร่องรอยการบุกรุกที่อาจเกิดขึ้นก่อนติดตั้งแพตช์ เนื่องจากการแก้ไขช่องโหว่เพียงอย่างเดียวไม่ได้รับประกันว่าระบบจะปลอดภัย หากผู้ไม่หวังดีเข้าถึงระบบไปก่อนหน้านี้แล้ว 

ขณะเดียวกัน ควรตรวจสอบเว็บไซต์และแอปพลิเคชันทั้งหมดขององค์กรว่ามีการใช้งาน PHP หรือไม่ เพื่อประเมินความเสี่ยงและป้องกันไม่ให้มีระบบใดตกหล่น 

สำหรับผู้ใช้งานทั่วไป ควรเพิ่มความปลอดภัยของบัญชีดิจิทัลด้วยการตั้งรหัสผ่านที่รัดกุม ไม่ใช้รหัสผ่านซ้ำกันหลายบัญชี และเปิดใช้การยืนยันตัวตนสองขั้นตอน (2FA) เพื่อลดความเสี่ยง แม้ข้อมูลส่วนตัวอาจรั่วไหลจากเว็บไซต์ที่ถูกเจาะระบบก็ตาม