พร้อมรับมือหรือยัง? ไทยติดโผ แฮกเกอร์ใช้ช่องโหว่ PHP2Shell มุ่งเจาะองค์กรทั่วโลก
หลังจากช่องโหว่ร้ายแรง PHP2Shell สร้างแรงสั่นสะเทือนไปทั่วโลก ล่าสุดนักวิจัยด้านความปลอดภัยไซเบอร์เตือนพบความเคลื่อนไหวของแฮกเกอร์ที่ใช้ช่องโหว่นี้ สแกนหาเซิร์ฟเวอร์ PHP ที่ยังไม่ได้รับการอุดช่องโหว่ทั่วโลก โดยมีประเทศไทยอยู่ในรายชื่อเป้าหมายด้วย ครอบคลุมทั้งหน่วยงานรัฐ สถาบันการเงิน ธุรกิจโลจิสติกส์ สนามบิน ภาคการผลิต และแพลตฟอร์มธุรกรรมออนไลน์ ขณะเดียวกัน ยังพบกรณีผู้โจมตีใช้ AI Agent ช่วยสำรวจระบบหลังเจาะเครือข่ายของหน่วยงานรัฐบาลในยุโรปได้สำเร็จ
ไทยติดโผ 216 เป้าหมายทั่วโลก
CYFIRMA บริษัทข่าวกรองภัยคุกคามไซเบอร์ เปิดเผยว่า ตรวจพบแคมเปญที่สงสัยว่าเชื่อมโยงกับเกาหลีเหนือ โดยใช้ช่องโหว่ PHP2Shell สแกนหาโครงสร้างพื้นฐาน PHP ทั่วโลกผ่านโหนดที่ถูกเจาะแล้ว 21 จุด พบระบบที่ยังไม่ได้ติดตั้งแพตช์หรือมีมาตรการป้องกันไม่เพียงพอรวม 216 แห่ง
รายชื่อประเทศที่อยู่ในข่ายเป้าหมายประกอบด้วย สหรัฐฯ ญี่ปุ่น เกาหลีใต้ ไทย อินโดนีเซีย ออสเตรเลีย ไต้หวัน อินเดีย สิงคโปร์ สหรัฐอาหรับเอมิเรตส์ ซาอุดีอาระเบีย และประเทศต่าง ๆ ในสหภาพยุโรป โดยภาคธุรกิจที่ถูกจับตาครอบคลุมตั้งแต่หน่วยงานรัฐบาลและสถาบันการเงิน ไปจนถึงโลจิสติกส์ สนามบินและการบิน ภาคการผลิต และแพลตฟอร์มธุรกรรมออนไลน์
สิ่งที่น่ากังวลคือ ผู้โจมตีไม่ได้สแกนระบบอย่างรวดเร็วหรือสร้างทราฟฟิกผิดปกติจำนวนมาก แต่เลือกใช้วิธีค่อย ๆ ตรวจสอบเป้าหมายด้วยปริมาณการเชื่อมต่อต่ำ พร้อมสลับเปลี่ยนโหนดที่ใช้สแกน และเลิกใช้โหนดทันทีเมื่อพบสัญญาณว่าถูกบล็อกหรือจำกัดการเชื่อมต่อ ทำให้ระบบรักษาความปลอดภัยที่ตั้งค่าแจ้งเตือนจากปริมาณคำขอจำนวนมากเพียงอย่างเดียวอาจตรวจจับได้ยาก
CYFIRMA ประเมินด้วยความเชื่อมั่นระดับปานกลางว่า แคมเปญนี้อาจเกี่ยวข้องกับผู้ปฏิบัติการที่อยู่ในเครือข่ายของ Lazarus Group ซึ่งเป็นกลุ่มแฮกเกอร์ที่มีประวัติเชื่อมโยงกับเกาหลีเหนือ โดยพบข้อมูลจากช่องทางสื่อสารแบบปิดบนเครือข่าย I2P ทั้งรายชื่อเป้าหมาย โครงสร้างพื้นฐานสำหรับโจมตี และการพูดคุยเกี่ยวกับการจัดลำดับเป้าหมาย
นักวิจัยระบุว่า กิจกรรมกำลังขยับจากการสำรวจระบบไปสู่การคัดเลือกเป้าหมายเพื่อโจมตีจริง โดยผู้ปฏิบัติการวางแผนเลือกเป้าหมายที่มีโอกาสเจาะสำเร็จสูง และพิจารณาปรับใช้ช่องโหว่ที่เปิดเผยต่อสาธารณะในการโจมตีขั้นต่อไป
ใช้ AI Agent ช่วยขโมยข้อมูล
นอกจากแคมเปญที่มุ่งเป้าไปยังระบบทั่วโลกแล้ว Palo Alto Networks Unit 42 ยังเปิดเผยกรณีผู้โจมตีใช้ช่องโหว่ PHP2Shell เจาะระบบของหน่วยงานรัฐบาลแห่งหนึ่งในยุโรป ก่อนพบพฤติกรรมที่บ่งชี้ว่าอาจมีการใช้ AI Agent ช่วยดำเนินงานหลังเจาะระบบสำเร็จ
ภายในเวลาเพียง 2 ชั่วโมงหลังเริ่มโจมตี ผู้โจมตีสามารถเข้าถึงแฮชรหัสผ่านและข้อมูลลับที่เกี่ยวข้องกับการยืนยันตัวตนหลายปัจจัย (MFA) พร้อมสร้างช่องทาง NTLM Relay เพื่อเชื่อมต่อเข้าสู่ระบบ Active Directory และพยายามยกระดับสิทธิ์เป็น Domain Admin ซึ่งมีอำนาจควบคุมระบบภายในโดเมนในระดับสูง
นักวิจัยยังพบคำสั่งที่ใช้สำรวจบัญชีผู้ใช้ ค้นหาบัญชีผู้ดูแลระบบ ตรวจสอบเครื่องภายในเครือข่าย และค้นหากลุ่มผู้ใช้ที่มีสิทธิ์สูง โดยผลลัพธ์จากคำสั่งถูกจัดให้อยู่ในรูปแบบที่เครื่องสามารถแยกวิเคราะห์ได้ง่าย สอดคล้องกับความเป็นไปได้ในการส่งข้อมูลให้ AI นำไปประมวลผลต่อ อย่างไรก็ตาม ยังไม่มีข้อยืนยันว่า AI เป็นผู้ดำเนินการโจมตีทั้งหมด
ช่องโหว่ PHP2Shell ที่ติดตามภายใต้รหัส CVE-2026-109618 และ CVE-2026-109619 ถูกจัดเป็นช่องโหว่ระดับวิกฤต ซึ่งอาจเปิดทางให้ผู้โจมตีสั่งรันโค้ดจากระยะไกล (Remote Code Execution: RCE) ได้ใน PHP ที่ใช้การตั้งค่าเริ่มต้นบางรูปแบบ หลังมีการเปิดเผยรายละเอียดช่องโหว่ต่อสาธารณะ Cloudflare รายงานว่าตรวจพบความพยายามใช้ช่องโหว่หลายล้านครั้ง
สำหรับองค์กรไทยที่ใช้ PHP กับเว็บไซต์ ระบบธุรกรรมออนไลน์ หรือแอปพลิเคชันภายใน ควรเร่งตรวจสอบเวอร์ชัน PHP และติดตั้งแพตช์ที่แก้ไขช่องโหว่แล้วโดยเร็ว เนื่องจากการอัปเดตปลั๊กอินหรือการใช้ Web Application Firewall (WAF) เพียงอย่างเดียวไม่สามารถทดแทนการแก้ไขช่องโหว่ที่ตัว PHP Runtime ได้
นอกจากนี้ ควรตรวจสอบบันทึกการทำงานของ PHP และ Apache เพื่อค้นหาความผิดปกติ เช่น คำขอ POST ที่เกิดข้อผิดพลาด HTTP 500 ตามด้วยข้อความแจ้งว่าหน่วยความจำไม่เพียงพอหรือ Heap Corruption รวมถึงตรวจสอบการเข้าถึงบัญชีผู้ดูแลระบบและ Active Directory หากพบพฤติกรรมผิดปกติ ควรเร่งตรวจสอบเพื่อประเมินว่าระบบถูกเจาะแล้วหรือไม่
อย่างไรก็ตาม แม้รายงานจะระบุว่าประเทศไทยอยู่ในกลุ่มประเทศที่มีระบบถูกกำหนดเป็นเป้าหมาย แต่ ยังไม่มีข้อมูลยืนยันว่าหน่วยงานไทยถูกเจาะสำเร็จจากแคมเปญนี้แล้ว สิ่งที่องค์กรควรทำในขณะนี้คือเร่งตรวจสอบและอุดช่องโหว่ก่อนที่การสแกนหาเป้าหมายจะเปลี่ยนเป็นการโจมตีจริง