ยศชนันสั่งยกระดับความปลอดภัย หลัง OpenAI พบช่องโหว่ PHP เสี่ยงถูกเจาะข้อมูล

(22 ตุลาคม 2569) ศ.ดร.ยศชนัน วงศ์สวัสดิ์ รองนายกรัฐมนตรี และรัฐมนตรีว่าการกระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม (อว.) ระบุผ่านโซเชียลมีเดียว่า สั่งการให้หน่วยงานภายใต้กระทรวงเร่งตรวจสอบและปรับปรุงระบบความปลอดภัย หลังมีการค้นพบช่องโหว่ร้ายแรงใน PHP ภาษาโปรแกรมที่ใช้พัฒนาเว็บไซต์จำนวนมากทั่วโลก ซึ่งอาจเปิดทางให้ผู้ไม่หวังดีเข้าควบคุมระบบและเข้าถึงข้อมูลสำคัญได้

ความเคลื่อนไหวเกิดขึ้นหลังเว็บไซต์ของหน่วยงานรัฐบาล โรงพยาบาล และองค์กรต่างๆ ในหลายประเทศของยุโรปต้องระงับการให้บริการชั่วคราว เพื่อป้องกันความเสี่ยงจากช่องโหว่ดังกล่าว ขณะที่บริษัทด้านความปลอดภัยไซเบอร์เริ่มตรวจพบความพยายามโจมตีเว็บไซต์ที่ยังไม่ได้รับการแก้ไขแล้ว

“ผมได้รับแจ้งมาว่า ทีมวิจัยของ OpenAI เพิ่งตรวจพบช่องโหว่ความปลอดภัยครั้งใหญ่ในระบบ PHP ซึ่งเป็นภาษาหลักที่ใช้สร้างเว็บไซต์กว่า 70% ทั่วโลก โดยมีความรุนแรงถึงขั้นที่อาจถูกใช้เจาะเข้ามา Hijack ได้ครับ” ยศชนัน ระบุ

ยศชนันมองว่า ข้อดีของเหตุการณ์นี้คือ เอไอสามารถช่วยค้นพบช่องโหว่ล่วงหน้า ทำให้ทีมผู้พัฒนามีเวลาเตรียมแก้ไขและพัฒนาระบบป้องกันตลอดระยะเวลาประมาณ 2 เดือน ก่อนเปิดเผยข้อมูลต่อสาธารณะ

สำหรับการรับมือในประเทศไทย ยศชนันย้ำว่า ประชาชนยังไม่จำเป็นต้องตื่นตระหนก แต่หน่วยงานที่ดูแลข้อมูลสำคัญจำนวนมาก โดยเฉพาะมหาวิทยาลัย โรงพยาบาล และโรงเรียนแพทย์ ต้องเร่งตรวจสอบระบบโดยเร็ว เพื่อป้องกันความเสี่ยงที่อาจกระทบต่อข้อมูลผู้ป่วย ประวัติการรักษา และฐานข้อมูลนักศึกษา โดยได้กำหนดแนวทางรับมือไว้ 3 ขั้นตอนสำคัญ ได้แก่

1. เตรียมรับมือ ให้เจ้าหน้าที่เทคโนโลยีสารสนเทศ (IT) ตรวจสอบเว็บไซต์และระบบงานทั้งหมดที่ใช้ PHP ว่ามีส่วนใดได้รับผลกระทบ โดยให้ความสำคัญกับระบบข้อมูลผู้ป่วยและฐานข้อมูลนักศึกษาเป็นอันดับแรก

2. ระงับความเสี่ยง ระหว่างรออัปเกรดระบบ ให้เปิดใช้มาตรการป้องกันเพิ่มเติมบนเครือข่ายหรือบริการคลาวด์ เช่น Web Application Firewall (WAF) ซึ่งเป็นระบบที่ช่วยตรวจสอบและสกัดกั้นคำสั่งที่อาจเป็นอันตรายก่อนเข้าสู่เว็บไซต์ พร้อมเฝ้าระวังการเข้าใช้งานที่ผิดปกติอย่างต่อเนื่อง

3. เร่งแก้ไข ทดสอบและอัปเกรด PHP ไปยังเวอร์ชันที่ได้รับการแก้ไขช่องโหว่แล้วโดยเร็วที่สุด เนื่องจากมาตรการป้องกันเพิ่มเติมช่วยลดความเสี่ยงได้เพียงชั่วคราว แต่ไม่สามารถทดแทนการแก้ไขข้อบกพร่องของซอฟต์แวร์โดยตรงได้

“ผมขอแจ้งให้ประชาชนและผู้ใช้บริการทุกท่านได้รับทราบถึงปัญหานี้ และมั่นใจได้ว่าเราและหน่วยงานภายใต้กำกับของผม กำลังเดินหน้าแก้ไขอยู่อย่างเต็มที่ เพื่อปกป้องข้อมูลสำคัญของประชาชนและปิดความเสี่ยงทั้งหมดก่อนที่ผู้ไม่หวังดีจะเริ่มลงมือครับ” ยศชนัน กล่าว

อย่างไรก็ตาม ยังไม่มีการเปิดเผยจำนวนเว็บไซต์หรือระบบของหน่วยงานไทยที่ได้รับผลกระทบ รวมถึงยังไม่มีข้อมูลยืนยันว่าระบบของหน่วยงานภายใต้กระทรวง อว. ถูกโจมตีหรือเกิดเหตุข้อมูลรั่วไหลจากช่องโหว่ครั้งนี้แล้วหรือไม่

ช่องโหว่ PHP ร้ายแรงแค่ไหน ทำไมเว็บไซต์ทั่วโลกจึงเสี่ยง?

PHP เป็นภาษาโปรแกรมที่ทำงานอยู่เบื้องหลังเว็บไซต์ ใช้จัดการข้อมูลและประมวลผลคำสั่งต่างๆ เช่น การเข้าสู่ระบบสมาชิก การจองคิวออนไลน์ หรือการดึงข้อมูลจากฐานข้อมูลมาแสดงบนเว็บไซต์ เช่น เมื่อผู้ป่วยเข้าเว็บไซต์โรงพยาบาลเพื่อนัดหมายแพทย์ หรือเมื่อนักศึกษาเข้าสู่ระบบเพื่อตรวจสอบผลการเรียน PHP อาจเป็นส่วนหนึ่งของระบบที่ประมวลผลคำขอและแสดงข้อมูลกลับมายังผู้ใช้งาน

PHP ยังเป็นเทคโนโลยีสำคัญที่อยู่เบื้องหลังแพลตฟอร์มสร้างเว็บไซต์ยอดนิยม เช่น WordPress, Drupal และ Joomla โดยข้อมูลจาก W3Techs ระบุว่า PHP ถูกใช้งานในเว็บไซต์เกือบ 70% ของเว็บไซต์ที่สามารถตรวจสอบได้ว่าใช้ภาษาโปรแกรมชนิดใดในการทำงานฝั่งเซิร์ฟเวอร์

ตัวเลขดังกล่าวไม่ได้หมายความว่าเว็บไซต์ทั้งหมดในสัดส่วนนี้ถูกโจมตีแล้ว แต่สะท้อนว่าหากพบข้อบกพร่องร้ายแรงใน PHP ก็อาจส่งผลต่อเว็บไซต์จำนวนมากที่ยังใช้เวอร์ชันซึ่งไม่ได้รับการแก้ไข

ทีมผู้พัฒนา PHP ได้เปิดเผยช่องโหว่ระดับวิกฤติ 2 รายการ ซึ่งเรียกรวมกันว่า PHP2Shell มีรหัสอ้างอิง CVE-2026-109618 และ CVE-2026-109619 โดย CVE เป็นหมายเลขมาตรฐานที่ใช้ระบุช่องโหว่ด้านความปลอดภัยแต่ละรายการ

ช่องโหว่ทั้งสองได้รับคะแนนความรุนแรง 9.2 จาก 10 ตามมาตรฐานการประเมินช่องโหว่ด้านความปลอดภัย และมีความเสี่ยงที่แฮกเกอร์อาจส่งคำสั่งผ่านอินเทอร์เน็ตไปยังเซิร์ฟเวอร์ ซึ่งเป็นเครื่องคอมพิวเตอร์ที่ทำหน้าที่ให้บริการเว็บไซต์ เพื่อสั่งให้ระบบทำงานตามต้องการโดยไม่จำเป็นต้องรู้รหัสผ่าน

การโจมตีลักษณะนี้เรียกว่า Remote Code Execution (RCE) หรือการสั่งให้เครื่องคอมพิวเตอร์ทำงานจากระยะไกลโดยไม่ได้รับอนุญาต หากสำเร็จ ผู้โจมตีอาจเข้าถึงข้อมูลภายในระบบ ขโมยหรือแก้ไขไฟล์ ติดตั้งโปรแกรมอันตราย ตลอดจนทำให้เว็บไซต์หยุดทำงานได้

สาเหตุของช่องโหว่เกี่ยวข้องกับข้อผิดพลาดในการจัดการหน่วยความจำของ PHP ซึ่งอาจทำให้โปรแกรมนำข้อมูลที่ไม่สมบูรณ์หรือข้อมูลจากหน่วยความจำที่ถูกปล่อยคืนไปแล้วกลับมาใช้งานผิดวิธี จนเปิดโอกาสให้ผู้โจมตีแทรกคำสั่งอันตรายเข้าสู่ระบบ ปัญหานี้เกิดขึ้นในตัว PHP เอง ไม่ได้จำกัดอยู่เฉพาะเว็บไซต์ที่สร้างด้วย WordPress หรือแพลตฟอร์มใดแพลตฟอร์มหนึ่ง จึงทำให้เว็บไซต์หลายประเภทมีความเสี่ยงหากยังใช้เวอร์ชันที่ได้รับผลกระทบ

เว็บรัฐบาลยุโรปปิดบริการชั่วคราว หลังพบความพยายามโจมตี

รอยเตอร์สรายงานว่า เว็บไซต์ของหน่วยงานรัฐบาลและองค์กรสำคัญในหลายประเทศของยุโรปต้องปิดให้บริการชั่วคราว เพื่อป้องกันความเสี่ยงจากช่องโหว่ PHP

ในเยอรมนี ผู้ให้บริการระบบเทคโนโลยีสารสนเทศของรัฐบาลกลางปิดเว็บไซต์บางส่วน ขณะที่ฝรั่งเศสระงับเว็บไซต์ของหน่วยงานปกครองท้องถิ่น ส่วนเนเธอร์แลนด์มีทั้งเว็บไซต์บริการภาครัฐ โรงพยาบาล และท่าเรือรอตเตอร์ดัมที่ได้รับผลกระทบจากมาตรการป้องกันดังกล่าว

ด้านฟินแลนด์ ผู้ให้บริการระบบไอทีของรัฐบาลระงับบริการเว็บไซต์สาธารณะ ขณะที่เบลเยียมและสาธารณรัฐเช็กต่างดำเนินมาตรการปิดเว็บไซต์บางส่วนเพื่อเร่งปรับปรุงความปลอดภัย นอกจากนี้ มูลนิธิ Wikimedia ผู้ดูแล Wikipedia ยังระงับระบบบางส่วนเป็นการชั่วคราวด้วย

การปิดเว็บไซต์เหล่านี้ส่วนใหญ่เป็นมาตรการป้องกันล่วงหน้า ไม่ได้หมายความว่าทุกหน่วยงานถูกแฮกเกอร์เจาะระบบสำเร็จแล้ว

ขณะเดียวกัน Cloudflare บริษัทผู้ให้บริการระบบเครือข่ายและความปลอดภัยเว็บไซต์ เปิดเผยว่า ความพยายามโจมตีผ่านช่องโหว่ PHP เพิ่มขึ้นอย่างรวดเร็วหลังมีการเผยแพร่ข้อมูลต่อสาธารณะ

แมทธิว พรินซ์ (Matthew Prince) ประธานเจ้าหน้าที่บริหาร Cloudflare ระบุว่า จากเดิมที่ตรวจพบความพยายามโจมตีหลายพันครั้ง ตัวเลขเพิ่มเป็นหลายหมื่นครั้งภายใน 45 นาทีหลังการประกาศ ก่อนเพิ่มเป็นหลายแสนครั้งในเวลา 2 ชั่วโมง และสะสมรวมหลายล้านครั้งในเวลาต่อมา

แม้ตัวเลขดังกล่าวไม่ได้หมายความว่ามีเว็บไซต์ถูกเจาะสำเร็จหลายล้านแห่ง แต่สะท้อนให้เห็นว่าแฮกเกอร์เริ่มใช้ประโยชน์จากช่องโหว่ได้อย่างรวดเร็ว ส่งผลให้องค์กรที่ยังไม่ได้อัปเดตระบบมีความเสี่ยงเพิ่มขึ้น

เอไอจาก OpenAI และ Google ช่วยค้นพบช่องโหว่ที่ซ่อนอยู่นาน

OpenAI เปิดเผยว่า บริษัทได้ร่วมมือกับนักวิจัย ทีมผู้พัฒนา PHP และบริษัทด้านความปลอดภัยไซเบอร์ ผ่านโครงการ Patch the Planet เพื่อค้นหาและแก้ไขช่องโหว่ร้ายแรงในซอฟต์แวร์โอเพนซอร์ส ซึ่งหมายถึง ซอฟต์แวร์ที่เปิดเผยโค้ดให้ผู้อื่นสามารถนำไปใช้งาน ตรวจสอบ และพัฒนาต่อยอดได้

บริษัทวิจัยด้านความปลอดภัย Calif ใช้โมเดล GPT-5.6 Sol ของ OpenAI ช่วยวิเคราะห์และค้นพบช่องโหว่สำคัญ ขณะที่ Wiz บริษัทด้านความปลอดภัยไซเบอร์ในเครือ Google ค้นพบและรายงานช่องโหว่ทั้งสองรายการแยกจากกัน โดยใช้เอไอหลายระบบ รวมถึง Gemini 4 Argon ของ Google

ความร่วมมือดังกล่าวทำให้นักวิจัยและทีมผู้พัฒนา PHP มีเวลาประมาณ 2 เดือนในการตรวจสอบปัญหา พัฒนาโปรแกรมแก้ไข และเตรียมระบบป้องกันร่วมกับผู้ให้บริการเทคโนโลยี ก่อนเปิดเผยรายละเอียดต่อสาธารณะ

OpenAI มองว่า เอไอช่วยตรวจสอบโค้ดจำนวนมาก และค้นหาจุดอ่อนด้านความปลอดภัยที่มนุษย์อาจมองข้ามไปได้ อย่างไรก็ตาม เทคโนโลยีเดียวกันก็อาจถูกนำไปใช้โดยผู้ไม่หวังดี เพื่อค้นหาช่องโหว่และพัฒนาเครื่องมือโจมตีได้เร็วขึ้นเช่นกัน

ผู้พัฒนา PHP ออกแพตช์แล้ว เร่งอัปเกรดก่อนถูกโจมตี

ทีมผู้พัฒนา PHP ได้เผยแพร่โปรแกรมแก้ไขข้อบกพร่องด้านความปลอดภัย เมื่อวันที่ 21 ตุลาคม โดยเวอร์ชันที่ได้รับการแก้ไขแล้ว ได้แก่ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35

ส่วนเว็บไซต์ที่ยังใช้ PHP 8.1 หรือต่ำกว่า ซึ่งสิ้นสุดการสนับสนุนจากทีมผู้พัฒนาหลักแล้ว จำเป็นต้องพิจารณาอัปเกรดไปยังเวอร์ชันที่ยังได้รับการสนับสนุน หรือรับโปรแกรมแก้ไขที่เหมาะสมจากผู้ให้บริการระบบ ทั้งนี้ ผู้ใช้อินเทอร์เน็ตทั่วไปไม่จำเป็นต้องดาวน์โหลด PHP มาติดตั้งด้วยตนเอง เนื่องจากโปรแกรมดังกล่าวทำงานอยู่บนเซิร์ฟเวอร์ของเว็บไซต์ ผู้ที่ต้องดำเนินการจึงเป็นเจ้าของเว็บไซต์ เจ้าหน้าที่ IT หรือผู้ให้บริการที่รับผิดชอบดูแลระบบ

แม้ระบบป้องกันเพิ่มเติมจะช่วยลดความเสี่ยงได้ แต่ผู้เชี่ยวชาญย้ำว่าการอัปเดต PHP ยังคงเป็นวิธีสำคัญในการแก้ไขช่องโหว่ที่ต้นเหตุ

สำหรับประเทศไทย สิ่งที่ต้องติดตามต่อจากนี้คือ ผลการตรวจสอบเว็บไซต์และระบบสารสนเทศของหน่วยงานภายใต้กระทรวง อว. ว่ามีระบบใดได้รับผลกระทบ มีการอัปเกรดแก้ไขแล้วมากน้อยเพียงใด และการประสานงานกับหน่วยงานภาครัฐอื่นๆ จะช่วยลดความเสี่ยงจากช่องโหว่ครั้งนี้ได้รวดเร็วเพียงใด