PHP2Shell ช่องโหว่ที่ AI ของ OpenAI เจอ เว็บทั่วโลกเสี่ยงถูกแฮก

สัปดาห์นี้เว็บไซต์หลายแห่งทั่วโลก ทั้งเว็บรัฐบาล สายการบิน ธนาคาร และสื่อ ปิดตัวชั่วคราวพร้อมกัน สาเหตุคือช่องโหว่ร้ายแรงใน PHP ภาษาที่อยู่เบื้องหลังเว็บไซต์ราว 70% ของโลก และที่ทำให้เป็นข่าวใหญ่ยิ่งขึ้น คือช่องโหว่นี้ ถูกค้นพบด้วยความช่วยเหลือของ AI จาก OpenAI บทความนี้สรุปว่าเกิดอะไรขึ้น กระทบใครบ้าง และคนทั่วไปกับเจ้าของเว็บควรทำอะไร

---

เกิดอะไรขึ้น

• ช่องโหว่ชื่อ PHP2Shell เป็น ช่องโหว่ร้ายแรง 2 จุด ในภาษา PHP
• หน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ (CISA) ระบุว่ากระทบ PHP ทุกเครื่องที่ให้บริการเว็บ
• รายงานระบุว่าช่องโหว่นี้ ซ่อนอยู่มานานกว่า 10 ปี
• มูลนิธิ PHP ปล่อยแพตช์แก้ไขแล้ว และเปิดเผยข้อมูลต่อสาธารณะเมื่อ 21 ต.ค. 2569

---

AI เข้ามาเกี่ยวยังไง

OpenAI ระบุว่า โมเดล AI ของบริษัทเป็นตัวช่วยค้นพบช่องโหว่นี้ และนำทีมพันธมิตรนักวิจัยและบริษัทความปลอดภัย เช่น Wiz ทำงานร่วมกับ PHP มาราว 2 เดือนก่อนเปิดเผย โดย OpenAI บอกว่า AI เจอช่องโหว่ก่อนผู้โจมตี และเรียกเหตุการณ์นี้ว่าเป็นหนึ่งในปัญหาความปลอดภัยที่ส่งผลกระทบมากที่สุดในช่วงหลัง

อีกด้านของเหรียญ: Wiz ระบุว่า AI ทำให้การหาและใช้ประโยชน์จากช่องโหว่ ง่ายขึ้นมาก งานที่เคยใช้ทีมทำเป็นเดือน นักวิจัยคนเดียวทำเสร็จได้ในสัปดาห์เดียว นี่คือเหตุผลที่ทุกฝ่ายเร่งอัปเดตกันพร้อมกันทั่วโลก (AI ของ OpenAI แฮ็ก Hugging Face เอง)

---

ทำไมเว็บทั่วโลกถึงปิดตัว

ผู้โจมตีอาจใช้ช่องโหว่นี้ สั่งรันโค้ดบนเซิร์ฟเวอร์จากระยะไกล ทำให้เว็บล่ม หรือ อ่านข้อมูลในหน่วยความจำ ซึ่งอาจมีข้อมูลสำคัญอย่างรหัสผ่าน

หน่วยงานอย่าง FBI และ NSA แนะนำว่า ถ้าอัปเดตทันทีไม่ได้ ให้ปิดเว็บไว้ก่อน หลายองค์กรจึงปิดระบบชั่วคราวเพื่อแพตช์ เช่น

• เว็บรัฐบาลในฝรั่งเศส เดนมาร์ก ฟินแลนด์ เนเธอร์แลนด์ ออสเตรเลีย และบางส่วนของญี่ปุ่นและสหราชอาณาจักร
• บริษัทญี่ปุ่นอย่าง ANA, JR West และ MUFG ระงับบางหน้าเว็บหรือบริการ
• Wikimedia ปิดบางระบบเพื่อความปลอดภัย

มีการโจมตีจริงแล้วหรือยัง: CEO ของ Cloudflare เผยว่าพบความพยายามโจมตี "หลายล้านครั้ง" ในไม่กี่ชั่วโมงหลังข่าวออก ส่วนรัฐบาลญี่ปุ่นแจ้งว่ายังไม่ได้รับรายงานความเสียหาย

---

PHP คืออะไร ทำไมกระทบเยอะ

PHP คือภาษาเขียนโปรแกรมฝั่งเซิร์ฟเวอร์ ที่อยู่เบื้องหลัง เว็บไซต์ราว 70% ของโลก รวมถึงเว็บที่สร้างด้วย WordPress และ Drupal ซึ่งใช้กันแพร่หลายทั้งเว็บบริษัท ร้านค้าออนไลน์ บล็อก และเว็บหน่วยงาน

---

คนทั่วไปต้องทำอะไร

ช่องโหว่นี้อยู่ที่ เซิร์ฟเวอร์ของเว็บไซต์ ไม่ได้อยู่ในมือถือหรือคอมพิวเตอร์ของเรา เราจึงแพตช์เองไม่ได้ แต่ป้องกันตัวเองได้ดังนี้:

1. ไม่ต้องตกใจถ้าบางเว็บเข้าไม่ได้ชั่วคราว อาจกำลังปิดปรับปรุงเพื่อความปลอดภัย
2. ระวังข้อความและอีเมลหลอกลวงที่อาศัยข่าวนี้ เช่น อ้างว่า "บัญชีของคุณรั่วไหลจากช่องโหว่ PHP กรุณายืนยันตัวตน" อย่ากดลิงก์ ให้เข้าเว็บหรือแอปทางการเองเสมอ (ระวังมิจฉาชีพใช้ AI หลอกแนบเนียน)
3. ไม่ใช้รหัสผ่านเดียวกันหลายเว็บ ถ้าเว็บใดเว็บหนึ่งรั่ว บัญชีอื่นจะไม่โดนไปด้วย
4. เปิดยืนยันตัวตน 2 ขั้น หรือใช้ Passkey กับบัญชีสำคัญ (Passkey คืออะไร ปลอดภัยกว่ารหัสผ่านยังไง)
5. ติดตามประกาศจากเว็บที่ใช้ประจำ ถ้ามีแจ้งให้เปลี่ยนรหัสผ่าน ให้เปลี่ยนผ่านเว็บทางการ

---

เจ้าของเว็บไซต์หรือร้านออนไลน์ต้องทำอะไร

ถ้ามีเว็บไซต์ของตัวเอง เช่น เว็บร้านค้าที่ทำด้วย WordPress:

1. เช็คว่าเว็บใช้ PHP หรือไม่ ถ้าใช้ WordPress หรือ Drupal ส่วนใหญ่ใช้ PHP
2. ติดต่อผู้ให้บริการโฮสติ้งหรือคนทำเว็บทันที ถามว่าอัปเดต PHP เป็นเวอร์ชันที่แก้ไขแล้วหรือยัง
3. ถ้าดูแลเซิร์ฟเวอร์เอง ให้อัปเดตตามคำแนะนำของ PHP Foundation โดยเร็วที่สุด
4. ถ้าอัปเดตทันทีไม่ได้ หน่วยงานความมั่นคงแนะนำให้ปิดเว็บชั่วคราว
5. ถ้าพบร่องรอยการโจมตี ให้ถือว่าระบบถูกเจาะแล้ว ไม่ใช่แค่เสี่ยง เปลี่ยนรหัสผ่านผู้ดูแลระบบและตรวจสอบอย่างละเอียด

---

บทเรียนจากเหตุการณ์นี้

• AI กลายเป็นดาบสองคม ช่วยฝ่ายป้องกันหาช่องโหว่ได้เร็วขึ้น แต่ก็ทำให้ผู้โจมตีใช้ช่องโหว่ได้ง่ายขึ้นเช่นกัน (AI Agent ทำงานแทนคนได้จริงแค่ไหน)
• ซอฟต์แวร์ที่ใช้มานานไม่ได้แปลว่าปลอดภัย ช่องโหว่นี้ซ่อนอยู่กว่า 10 ปี
• การอัปเดตสำคัญเสมอ ทั้งเว็บไซต์ แอป และระบบปฏิบัติการในมือถือ (ตั้งค่าความปลอดภัยมือถือ ป้องกันหายและถูกแฮก)

---

สรุป

PHP2Shell คือช่องโหว่ร้ายแรง 2 จุดในภาษา PHP ที่อยู่เบื้องหลังเว็บไซต์ราว 70% ของโลก ค้นพบด้วยความช่วยเหลือของ AI จาก OpenAI และเปิดเผยเมื่อ 21 ต.ค. 2569 พร้อมแพตช์แก้ไข หลายองค์กรทั่วโลกปิดเว็บชั่วคราวเพื่ออัปเดต และมีความพยายามโจมตีหลายล้านครั้งหลังข่าวออก คนทั่วไปแพตช์เองไม่ได้ แต่ควรระวังข้อความหลอกลวงที่อาศัยข่าวนี้ ไม่ใช้รหัสผ่านซ้ำ และเปิดยืนยันตัวตน 2 ขั้น ส่วน เจ้าของเว็บ ควรติดต่อโฮสติ้งหรือคนทำเว็บให้อัปเดต PHP ทันที

อยากใช้มือถือที่ได้อัปเดตความปลอดภัยต่อเนื่อง? ขายเครื่องเก่าที่หมดอัปเดตให้ BunnyPhone ประเมินราคาฟรี @bunnyphone

---

อ่านต่อ:

• เช็คมือถือโดนแฮก สปายแวร์ยังไง
• .go.th .com .net ต่างกันยังไง แบบไหนปลอดภัย
• OTP คืออะไร ทำไมห้ามบอกใคร

---

Sources:
https://www.pbs.org/newshour/nation/ai-discovered-a-software-vulnerability-that-could-impact-70-of-websites-worldwide-the-rush-is-on-to-patch-it
https://www.thenationalnews.com/future/technology/2026/10/21/php-security-issues-exploit/
https://abc7.com/story/php-vulnerability-2026-websites-shut-down-globally-operators-address-ai-detected-flaw-web-programming-language/19968288/
https://www.cnn.com/2026/10/21/tech/php2shell-vulnerability-ai-intl
https://www.axios.com/2026/10/22/php-vulnerability-security-update-websites