AI เปิดฝันร้ายบนอินเทอร์เน็ต! พบช่องโหว่ PHP ซ่อนมานานนับสิบปี กระทบเว็บไซต์ 70% ทั่วโลก
อย่างที่เราได้ยินข่าวมาตลอดสัปดาห์ที่ผ่านมาว่าเว็บไซต์ที่ผู้คนใช้งานกันทุกวันกำลังเผชิญความเสี่ยงด้านความปลอดภัยมานานหลายปี โดยไม่เคยมีใครตรวจพบช่องโหว่สำคัญใน PHP ซึ่งเป็นภาษาโปรแกรมที่อยู่เบื้องหลังเว็บไซต์จำนวนมหาศาลทั่วโลก จนกระทั่งเทคโนโลยี AI เข้ามาช่วยนักวิจัยค้นพบข้อบกพร่องร้ายแรงอย่างน้อย 2 รายการที่อาจเปิดทางให้ผู้โจมตีขโมยข้อมูลสำคัญ หรือสั่งรันโค้ดเพื่อยึดควบคุมเซิร์ฟเวอร์ได้โดยไม่ต้องมีสิทธิ์เข้าถึงระบบมาก่อน
ช่องโหว่ดังกล่าวถูกเรียกรวมกันว่า PHP2Shell และกลายเป็นประเด็นเร่งด่วนด้านความปลอดภัยไซเบอร์ในเดือนตุลาคม 2026 หลังมีรายงานเกี่ยวกับความพยายามโจมตีที่อาศัยช่องโหว่ จนหน่วยงานภาครัฐและบริษัทหลายแห่งต้องนำเว็บไซต์ลงชั่วคราวเพื่อเร่งติดตั้งแพตช์ความปลอดภัย ขณะที่สำนักงานความมั่นคงแห่งชาติสหรัฐฯ (NSA) และหน่วยงานด้านความมั่นคงไซเบอร์ของยุโรปต่างออกมาเตือนให้ผู้ดูแลระบบเร่งจัดการความเสี่ยง
PHP คืออะไร ทำไมช่องโหว่จึงกระทบเว็บไซต์ทั่วโลก
แม้ผู้ใช้อินเทอร์เน็ตส่วนใหญ่อาจไม่คุ้นเคยกับ PHP แต่ภาษาโปรแกรมนี้อยู่เบื้องหลังเว็บไซต์มาเป็นเวลานาน โดย PHP ย่อมาจาก Hypertext Preprocessor เริ่มใช้งานมาตั้งแต่ช่วงทศวรรษ 1990 และทำหน้าที่ประมวลผลข้อมูลฝั่งเซิร์ฟเวอร์ ก่อนส่งเนื้อหาไปแสดงผลบนเว็บเบราว์เซอร์
ตัวอย่างเช่น HTML กำหนดโครงสร้างและสิ่งที่ผู้ใช้เห็นบนหน้าเว็บไซต์ ขณะที่ PHP ทำงานอยู่เบื้องหลังเพื่อดึงข้อมูล ประมวลผลคำขอ และสร้างเนื้อหาที่เหมาะสมกับผู้ใช้แต่ละคน ภาษาโปรแกรมนี้จึงถูกนำไปใช้กับเว็บไซต์หลากหลายประเภท ตั้งแต่ Wikipedia และบล็อกที่สร้างด้วย WordPress ไปจนถึงแพลตฟอร์มซื้อขายสินค้าออนไลน์
ข้อมูลจากหน่วยงานที่ติดตามเทคโนโลยีเว็บไซต์ระบุว่า PHP ถูกใช้งานบนเว็บไซต์ประมาณ 70% ของเว็บไซต์ที่ทราบภาษาสำหรับประมวลผลฝั่งเซิร์ฟเวอร์ ทำให้ข้อบกพร่องในตัวภาษาอาจส่งผลกระทบเป็นวงกว้าง ไม่ใช่เพียงเว็บไซต์ใดเว็บไซต์หนึ่ง
สำหรับ PHP2Shell นักวิจัยพบช่องโหว่ร้ายแรง 2 รายการ ซึ่งอาจทำให้ผู้โจมตีส่งคำขอที่สร้างขึ้นเป็นพิเศษไปยังระบบที่มีช่องโหว่ เพื่อสั่งรันโค้ดอันตรายบนเซิร์ฟเวอร์ได้ หากโจมตีสำเร็จอาจนำไปสู่การขโมยรหัสผ่าน ข้อมูลสำคัญ และไฟล์ของแอปพลิเคชัน ตลอดจนเข้าถึงฐานข้อมูลที่เชื่อมต่ออยู่ โดยผลกระทบจริงขึ้นอยู่กับสิทธิ์ของโปรเซสและการตั้งค่าของระบบ
AI ช่วยค้นพบช่องโหว่ที่อาจซ่อนมานานกว่าทศวรรษ
ประเด็นสำคัญของ PHP2Shell ไม่ได้อยู่ที่ความร้ายแรงของช่องโหว่เพียงอย่างเดียว แต่ยังอยู่ที่บทบาทของ AI ในการค้นหาข้อผิดพลาดที่อาจหลุดรอดจากการตรวจสอบของมนุษย์มาเป็นเวลานาน
OpenAI เปิดเผยว่าเทคโนโลยีของบริษัทมีส่วนช่วยค้นพบช่องโหว่ดังกล่าว โดยระบุว่าปัญหานี้เป็นหนึ่งในประเด็นความปลอดภัยที่มีผลกระทบสูงที่สุดในช่วงที่ผ่านมา พร้อมกล่าวว่า จากข้อมูลที่บริษัททราบในขณะนี้ AI รุ่นก้าวหน้าสามารถค้นพบช่องโหว่เหล่านี้ก่อนที่ผู้โจมตีจะพบ
ด้าน Wiz บริษัทด้านความปลอดภัยไซเบอร์ ระบุในบทวิเคราะห์ว่า ช่องโหว่เหล่านี้จัดอยู่ในกลุ่มช่องโหว่ที่ร้ายแรงที่สุดเท่าที่เคยค้นพบใน PHP และอาจถือว่าร้ายแรงในระดับประวัติศาสตร์ของซอฟต์แวร์ได้เช่นกัน
Wiz ยังชี้ว่า ช่องโหว่ดังกล่าวอาจไม่ถูกตรวจพบมานานกว่าทศวรรษ เนื่องจากการค้นหาวิธีใช้ประโยชน์จากข้อผิดพลาดเหล่านี้ต้องอาศัยการวิเคราะห์ทางเทคนิคที่ซับซ้อน ซึ่ง AI ช่วยให้นักวิจัยค้นพบแนวทางดังกล่าวได้
หลังการค้นพบ PHP ได้เผยแพร่แพตช์ความปลอดภัยเมื่อวันที่ 21 ตุลาคม 2026 ขณะที่บริษัทด้านความปลอดภัยไซเบอร์และหน่วยงานที่เกี่ยวข้องเร่งแจ้งเตือนให้ผู้ดูแลระบบอัปเดตซอฟต์แวร์โดยเร็ว หากองค์กรไม่สามารถติดตั้งแพตช์ได้ทันเวลา NSA ยังเตือนให้พิจารณานำเว็บไซต์ที่มีความเสี่ยงลงชั่วคราว เพื่อหลีกเลี่ยงการเปิดช่องให้ผู้โจมตีเข้าถึงระบบ
Black October สะท้อนความเสี่ยงไซเบอร์ยุค AI
เหตุการณ์ PHP2Shell เกิดขึ้นท่ามกลางสถานการณ์ภัยคุกคามไซเบอร์หลายรูปแบบในเดือนตุลาคม ตั้งแต่แพลตฟอร์มสำหรับนักพัฒนาที่หยุดชะงัก ข้อมูลโรงเรียนที่รั่วไหล ไปจนถึงการบุกรุกระบบของบริษัทจดทะเบียน นอกจากนี้ ยังมีรายงานว่าธนาคารบางแห่งกำลังเร่งรับมือกับกรณี AI Agent จากบุคคลที่สามเข้าถึงบัญชีลูกค้าโดยไม่ได้รับอนุญาต
ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์บางส่วนเรียกสถานการณ์ที่เกิดขึ้นว่า “Black October” เพื่อสะท้อนปริมาณเหตุการณ์และระดับความเสี่ยงที่เพิ่มสูงขึ้น แม้หลายองค์กรจะสามารถจำกัดผลกระทบและป้องกันไม่ให้เกิดความเสียหายในวงกว้างได้ก็ตาม
สถานการณ์นี้ยังตอกย้ำความท้าทายของโลกไซเบอร์ยุคใหม่ เพราะซอฟต์แวร์ที่อยู่เบื้องหลังอินเทอร์เน็ตจำนวนมากอาจมีข้อบกพร่องสะสมมานาน ขณะเดียวกัน AI ก็ช่วยให้ทั้งนักวิจัยและผู้โจมตีมีโอกาสค้นพบจุดอ่อนที่ซับซ้อนได้รวดเร็วยิ่งขึ้น การนำ AI มาใช้ค้นหาช่องโหว่จึงมีทั้งประโยชน์ต่อการป้องกันระบบและความเสี่ยง หากเทคโนโลยีเดียวกันถูกนำไปใช้เพื่อหาวิธีเจาะระบบ
สำหรับผู้ใช้งานทั่วไป ผู้เชี่ยวชาญแนะนำให้ตั้งรหัสผ่านที่คาดเดายาก ใช้โปรแกรมจัดการรหัสผ่าน (Password Manager) และหลีกเลี่ยงการตื่นตระหนกจากข่าวภัยคุกคาม อย่างไรก็ตาม ความรับผิดชอบหลักในการแก้ไขช่องโหว่ PHP2Shell อยู่ที่ผู้ดูแลเว็บไซต์และผู้ให้บริการระบบ ซึ่งต้องเร่งอัปเดตซอฟต์แวร์และตรวจสอบมาตรการป้องกันให้เหมาะสม