ช่องโหว่ร้ายแรงใน PHP คือ CVE-2026-109618 และ CVE-2026-109619 ได้จุดชนวนให้เกิดการเร่งอุดช่องโหว่ฉุกเฉิน หลังจากการรั่วไหลของข้อมูลและการรายงานความพยายามในการถูกโจมตี
ช่องโหว่ทั้งสองนี้ ซึ่งนักวิจัยบางส่วนขนานนามว่า “php2shell” นั้น มีผลกระทบอย่างมากต่อโครงสร้างพื้นฐานเซิร์ฟเวอร์จำนวนมากที่รองรับอินเทอร์เน็ต
CVE-2026-109618 อนุญาตให้เกิดการรันโค้ดจากระยะไกล (RCE) ผ่านการเสียหายของหน่วยความจำ ขณะที่ CVE-2026-109619 อนุญาต RCE ผ่านสถานะส่วนกลางที่ค้างอยู่
ตามที่ WatchTowr บล็อกโพสต์ระบุว่า ทั้งสองช่องโหว่ของ PHP ทำให้ผู้โจมตีสามารถรันโค้ดของตนเองบน Web server ได้โดยไม่จำเป็นต้องเข้าสู่ระบบ เพียงแค่เข้าถึงเซิร์ฟเวอร์ผ่านเครือข่ายก็เพียงพอแล้ว
ศัพท์ที่ควรรู้
- PHP – เป็นภาษา Scripting ที่ใช้กันอย่างแพร่หลายสำหรับพัฒนาเว็บแอปพลิเคชัน
- CVE-2026-109618 / CVE-2026-109619 – คือรหัสมาตรฐานที่ใช้ระบุช่องโหว่ด้านความปลอดภัยของซอฟต์แวร์
- RCE (Remote Code Execution) – คือการที่ผู้โจมตีสามารถสั่งให้เซิร์ฟเวอร์รันคำสั่งใดๆ ที่ตนต้องการจากระยะไกลได้
- CVSS v4.0 – คือระบบให้คะแนนมาตรฐานที่ใช้วัดระดับความรุนแรงของช่องโหว่ด้านความปลอดภัย
ที่มา: darkreading.com