ปรึกษาฟรีผ่าน LINE
WordPress Security

ช่องโหว่ PHP ล่าสุด 21 ต.ค. 2026 (PHP2Shell): อัปเดตเป็นเวอร์ชันไหน และเว็บ WordPress ต้องทำอะไร

26 นาที 28 Oct 2026 โดย
ช่องโหว่ PHP ล่าสุด 21 ต.ค. 2026 (PHP2Shell): อัปเดตเป็นเวอร์ชันไหน และเว็บ WordPress ต้องทำอะไร

สรุปคำตอบ

ช่องโหว่ PHP ล่าสุดคือ CVE-2026-109618 และ CVE-2026-109619 (PHP2Shell) ระดับวิกฤต CVSS 9.2 ที่ให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องล็อกอิน PHP ออกแพตช์วันที่ 21 ตุลาคม 2026 วิธีแก้คืออัปเดต PHP เป็น 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 ขึ้นไป แล้วรีสตาร์ต PHP ทุกตัว การอัปเดต WordPress หรือปลั๊กอินไม่ได้แก้ช่องโหว่นี้ เว็บบน Shared Hosting ให้สอบถามโฮสต์ว่าแพตช์แล้วหรือยัง

ช่องโหว่ PHP ล่าสุด ที่ต้องรีบจัดการคือช่องโหว่ร้ายแรงระดับวิกฤต 2 รายการ CVE-2026-109618 และ CVE-2026-109619 ซึ่งวงการความปลอดภัยเรียกรวมกันว่า PHP2Shell โครงการ PHP ออกแพตช์เมื่อวันที่ 21 ตุลาคม 2026 ในเวอร์ชัน 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 ช่องโหว่นี้อยู่ในตัว PHP เอง ไม่ใช่ใน WordPress ปลั๊กอิน หรือธีม จึงกระทบเว็บ WordPress ทุกเว็บที่รันบน PHP เวอร์ชันที่ยังไม่ได้แพตช์ (PHP Group, 21 ต.ค. 2026)

ถ้าเว็บยังใช้ PHP 8.2 อยู่ อ่านต่อว่าควรย้ายไปเวอร์ชันไหนก่อนสิ้นปีได้ที่ PHP 8.2 หมดอายุ 31 ธ.ค. 2026: ต้องย้ายไป PHP เวอร์ชันไหน

บทความนี้สรุปว่าแพตช์รอบนี้แก้อะไร ต้องอัปเดตเป็นเวอร์ชันไหน และเจ้าของเว็บ WordPress ต้องทำอะไรตามประเภทโฮสติ้งที่ใช้ ข้อมูลทุกข้อมีลิงก์ไปยังประกาศต้นทาง ณ วันที่ 28 ตุลาคม 2026 ถ้าอยากเข้าใจว่า PHP2Shell คืออะไรและทำไมถึงร้ายแรง อ่านต่อได้ที่ PHP2Shell คืออะไร

สรุปสั้น: อัปเดต PHP ให้เป็น 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 ขึ้นไป แล้วรีสตาร์ต PHP-FPM หรือ Apache ทุกตัว ทีม PHP ยืนยันว่าไม่มีการตั้งค่าใดป้องกันได้ครบ มีแค่การอัปเดตเท่านั้นที่แก้ได้จริง เว็บที่ยังใช้ PHP 8.1 หรือเก่ากว่าไม่มีเวอร์ชันแก้ไขอย่างเป็นทางการ ต้องย้ายไป PHP 8.2 ขึ้นไป และเนื่องจากมีการโจมตีจริงตั้งแต่ก่อนประกาศ ควรตรวจว่าเว็บเคยถูกเจาะหรือยังด้วย

ช่องโหว่ PHP ที่ออกแพตช์วันที่ 21 ตุลาคม 2026

ประกาศความปลอดภัยของ PHP ระบุช่องโหว่ 2 รายการ ทั้งคู่ได้คะแนน CVSS v4.0 เท่ากับ 9.2 และเปิดทางให้รันโค้ดจากระยะไกล (Remote Code Execution) ได้ (PHP Group, ประกาศล่วงหน้า 20 ต.ค. 2026)

รหัส CVE ชื่อในประกาศของ PHP สาเหตุโดยสรุป CVSS v4.0
CVE-2026-109618 RCE via OOM corruption เมื่อหน่วยความจำไม่พอ (Out of Memory) ระหว่างรับข้อมูลคำขอ ขั้นตอนเก็บกวาดหลังจากนั้นจะใช้ข้อมูลที่ยังสร้างไม่เสร็จเหมือนเป็นข้อมูลปกติ 9.2
CVE-2026-109619 RCE via stale global state หลังเกิด Fatal Error ค่าส่วนกลางยังชี้ไปที่หน่วยความจำที่คืนไปแล้ว (Use-after-free) คำขอถัดไปบน Worker เดียวกันจึงนำไปใช้ต่อได้ 9.2

คำอธิบายสาเหตุในตารางสรุปจาก Tenable และ Unit 42 ของ Palo Alto Networks ส่วน PHP ระบุว่าการเปิดเผยข้อมูลในหน่วยความจำเป็นผลกระทบที่ยืนยันแล้วของ CVE-2026-109619 ด้วย

ต้องอัปเดต PHP เป็นเวอร์ชันไหน

ให้ดูว่าเว็บใช้ PHP สาขา (Branch) ใด แล้วเทียบกับตารางนี้ ข้อมูลจาก ประกาศของ PHP และ watchTowr

PHP ที่ใช้อยู่ สถานะ ต้องทำอะไร
8.5.x มีช่องโหว่ถ้าต่ำกว่า 8.5.12 อัปเดตเป็น 8.5.12 ขึ้นไป
8.4.x มีช่องโหว่ถ้าต่ำกว่า 8.4.27 อัปเดตเป็น 8.4.27 ขึ้นไป
8.3.x มีช่องโหว่ถ้าต่ำกว่า 8.3.36 อัปเดตเป็น 8.3.36 ขึ้นไป
8.2.x มีช่องโหว่ถ้าต่ำกว่า 8.2.35 อัปเดตเป็น 8.2.35 และวางแผนย้ายสาขา เพราะ PHP 8.2 หมดอายุ 31 ธ.ค. 2026
7.4, 8.0, 8.1 มีช่องโหว่ทุกเวอร์ชัน ไม่มีรุ่นแก้ไขอย่างเป็นทางการ ย้ายไป PHP 8.2 ขึ้นไป หรือใช้แพ็กเกจที่ผู้ให้บริการ (Distribution / LTS) Backport แพตช์ให้
7.3 ลงไปถึง 5.4 มีช่องโหว่ ไม่มีแพตช์ ย้ายไป PHP เวอร์ชันที่ยังได้รับการดูแล

ข้อควรระวัง: ตัวเลขเวอร์ชันอย่างเดียวบอกไม่ได้เสมอไป เพราะ Linux distribution บางเจ้าและ CloudLinux ใส่แพตช์ให้โดยไม่เปลี่ยนเลขเวอร์ชัน เว็บที่แสดงเลขเก่าจึงอาจแพตช์แล้ว ควรถามโฮสติ้งให้ชัดว่าติดตั้ง Security Release วันที่ 21 ตุลาคมแล้วหรือยัง (Codeable) นอกจากนี้ PHP 8.4.27 และ 8.5.12 มีปัญหาถดถอย (Regression) ที่ทำให้บางแอปที่ใช้ SimpleXML ล่มได้ ซึ่งยังรอรุ่นแก้ไข ณ 26 ต.ค. 2026 (Tenable) ถ้าเว็บพังหลังอัปเดตให้ดูจุดนี้ก่อน อย่าถอยกลับไปเวอร์ชันที่มีช่องโหว่

ไทม์ไลน์ของช่องโหว่

  • 17 ต.ค. 2026 Amazon Threat Intelligence พบความพยายามโจมตีในเครือข่าย Honeypot สี่วันก่อนประกาศ จึงแนะนำให้เริ่มไล่ตรวจย้อนหลังตั้งแต่วันนี้ (Tenable)
  • 20 ต.ค. 2026 รายละเอียดหลุดสู่สาธารณะก่อนกำหนด PHP ออกประกาศล่วงหน้าว่าจะปล่อยแพตช์วันที่ 21 ตุลาคม เวลา 14:00 UTC (PHP Group)
  • 21 ต.ค. 2026 PHP ปล่อย 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 พร้อมประกาศความปลอดภัย WordPress.org ออกประกาศให้เจ้าของเว็บอัปเดต PHP ทันที Cloudflare เปิดกฎ WAF ป้องกันให้ทุกแพ็กเกจรวมถึงแบบฟรีตั้งแต่ 03:02 UTC (Cloudflare) และ watchTowr พบการโจมตีจริงในวันเดียวกัน
  • 23 ต.ค. 2026 PHP ออกประกาศเพิ่มเรื่อง Session upload progress และแจ้งว่ามีอีกช่องโหว่หนึ่งคือ CVE-2026-115560 ซึ่งจะแก้ในรอบอัปเดตปกติถัดไป (PHP Group)
  • 26 ต.ค. 2026 CISA เพิ่มทั้งสอง CVE เข้ารายการช่องโหว่ที่ถูกโจมตีจริง (KEV) และ PHP ออก Windows build ใหม่เพื่อแก้ช่องโหว่ใน Brotli (CVE-2026-111497) ซึ่งเป็นคนละเรื่องกัน (PHP Group)

เว็บ WordPress ต้องทำอะไร แยกตามประเภทโฮสติ้ง

WordPress.org ระบุว่าแพตช์นี้เป็นเรื่องของ PHP และแนะนำให้เจ้าของเว็บอัปเดต PHP ทันที พร้อมสอบถามโฮสติ้งว่าได้อัปเดตหรือเพิ่มกฎ WAF แล้วหรือยัง (WordPress.org) การอัปเดต WordPress ปลั๊กอิน หรือธีม ไม่ได้อัปเดต PHP ให้ สิ่งที่ต้องทำจึงขึ้นกับว่าใครดูแลเซิร์ฟเวอร์

ประเภทโฮสติ้ง ใครอัปเดต PHP สิ่งที่เจ้าของเว็บควรทำ
Managed WordPress Hosting ผู้ให้บริการ ดูอีเมลหรือหน้าสถานะของโฮสต์ว่าแพตช์แล้ว ถ้าไม่มีประกาศให้สอบถามตรง
Shared Hosting (cPanel, Plesk, DirectAdmin) ผู้ให้บริการ สอบถามโฮสต์ ถ้าเว็บเลือกใช้ PHP 8.1 หรือต่ำกว่า ให้เปลี่ยนเป็น 8.2 ขึ้นไปในแผงควบคุม (ทดสอบบนสำเนาเว็บและสำรองข้อมูลก่อน)
VPS หรือเซิร์ฟเวอร์ที่ดูแลเอง เจ้าของหรือผู้ดูแลระบบ ติดตั้งแพ็กเกจ PHP เวอร์ชันแก้ไข แล้วรีสตาร์ต PHP-FPM, Apache หรือ LiteSpeed ทุกตัว ตรวจด้วยว่าแหล่งแพ็กเกจที่ใช้ออกรุ่นแก้ไขแล้ว
ใช้ Cloudflare – กฎ WAF ช่วยกันการโจมตีที่รู้จักแล้วได้ระดับหนึ่ง แต่ไม่ใช่การแก้ไข แพ็กเกจ Pro ขึ้นไปควรตรวจว่า Managed Ruleset ตั้งเป็น Block ไม่ใช่แค่ Log

ประเด็นที่มักพลาดคือการติดตั้งแพ็กเกจใหม่ไม่ได้แพตช์โปรเซสที่รันอยู่ PHP-FPM และ Apache จะยังใช้โค้ดเก่าในหน่วยความจำจนกว่าจะรีสตาร์ต (Tenable) ส่วนการใช้ Cloudflare ช่วยได้เฉพาะทราฟฟิกที่วิ่งผ่าน Cloudflare เท่านั้น ถ้าผู้โจมตีรู้ IP จริงของเซิร์ฟเวอร์ก็ยิงตรงได้ (Cloudflare)

วิธีเช็กเวอร์ชัน PHP ของเว็บ WordPress

  1. เข้าหลังบ้าน WordPress ไปที่ เครื่องมือ (Tools) → สุขภาพเว็บไซต์ (Site Health) → ข้อมูล (Info)
  2. เปิดหัวข้อ เซิร์ฟเวอร์ (Server) แล้วดูบรรทัด เวอร์ชัน PHP
  3. เทียบกับตารางด้านบน ถ้าต่ำกว่าเวอร์ชันแก้ไขของสาขาเดียวกัน ให้ถามโฮสต์ว่ามีการ Backport แพตช์แล้วหรือยัง
  4. ถ้าดูแลเซิร์ฟเวอร์เอง ให้เช็กทุกเวอร์ชันที่ติดตั้งไว้ ไม่ใช่เฉพาะตัวที่เว็บหลักใช้ เพราะแผงควบคุมอย่าง Plesk หรือ cPanel มักติดตั้ง PHP ไว้หลายเวอร์ชันพร้อมกัน

ขั้นตอนเช็กใน Site Health อ้างอิงจาก Codeable ซึ่งแนะนำเพิ่มว่าเจ้าของเว็บบน Shared Hosting ไม่ควรแก้การตั้งค่าเซิร์ฟเวอร์เอง ให้ติดต่อโฮสต์แทน

ถ้ายังอัปเดตไม่ได้ มาตรการชั่วคราวที่ PHP แนะนำ

ส่วนนี้สำหรับผู้ดูแลเซิร์ฟเวอร์เท่านั้น PHP ระบุชัดว่ามาตรการเหล่านี้ ลดความเสี่ยงแต่ไม่ได้ทำให้ปลอดภัย และการอัปเดตเป็นทางแก้ที่สมบูรณ์ทางเดียว (PHP Group)

  • สำหรับ CVE-2026-109618: ตั้ง memory_limit=-1 ในแบบที่แอปเปลี่ยนเองไม่ได้ เช่น php_admin_value ใน FPM pool หรือคอนฟิก Apache และตั้ง post_max_size ให้ต่ำ (8M ถ้าเว็บไม่ต้องอัปโหลดไฟล์ หรือ 32M ถ้าต้องอัปโหลด) PHP เตือนว่าอย่าใช้ RLIMIT_AS หรือ RLIMIT_DATA แทน เพราะอาจทำให้เกิดเงื่อนไขของช่องโหว่เอง
  • สำหรับ CVE-2026-109619: ตั้ง session.upload_progress.enabled=0 ใน php.ini หรือ FPM pool แล้วรีสตาร์ตทุก Worker ห้ามพึ่ง ini_set() หรือไฟล์ .user.ini สำหรับ PHP 8.5 ให้ตั้ง fatal_error_backtraces=0 เพิ่มด้วย
  • สำหรับ CVE-2026-115560: PHP แนะนำให้ปิด session.upload_progress.enabled ไว้จนถึงรอบอัปเดตปกติถัดไป (PHP Group, 23 ต.ค. 2026)
  • จำกัดการเข้าถึงจากอินเทอร์เน็ตของเซิร์ฟเวอร์ที่ยังอัปเดตไม่ได้ ตามคำแนะนำของ watchTowr

Codeable ระบุว่า WordPress ไม่ได้ใช้ฟีเจอร์ Session upload progress การปิดจึงไม่น่ากระทบเว็บ WordPress ทั่วไป แต่ควรตรวจปลั๊กอินที่ใช้ PHP Session ด้วย

อัปเดตแล้ว ต้องเช็กอะไรต่อ

การอัปเดตปิดทางเข้า แต่ไม่ได้ลบสิ่งที่ผู้โจมตีอาจทิ้งไว้ก่อนหน้า เนื่องจากมีการโจมตีจริงตั้งแต่ 17 ตุลาคม เว็บที่อัปเดตช้าควรตรวจย้อนหลังตั้งแต่วันนั้น สิ่งที่ควรดู:

  • ไฟล์ PHP ใหม่หรือถูกแก้ไขหลังวันที่ 17 ตุลาคม โดยเฉพาะในโฟลเดอร์ wp-content/uploads ซึ่งไม่ควรมีไฟล์ PHP เลย อ่านวิธีไล่หาได้ที่ Web Shell คืออะไร
  • บัญชีผู้ดูแลระบบที่ไม่รู้จัก งาน Cron แปลกปลอม และไฟล์ WordPress Core ที่ไม่ตรงกับ Checksum
  • CPU สูงผิดปกติหรือเว็บช้าทั้งที่ทราฟฟิกเท่าเดิม ซึ่งอาจเป็นสัญญาณของ Cryptojacking
  • Log ของเว็บเซิร์ฟเวอร์ช่วงที่ยังไม่แพตช์ หาคำขอ POST ขนาดใหญ่ผิดปกติหรือ Error ของ PHP-FPM ที่ถี่ผิดปกติ

Google Cloud/Mandiant แนะนำว่าถ้าเซิร์ฟเวอร์มีร่องรอยถูกเจาะ ให้เก็บหน่วยความจำของ Worker ไว้ก่อนรีสตาร์ต เพราะการรีสตาร์ตจะลบหลักฐาน (อ้างใน Tenable) ถ้าพบร่องรอย ทำตามขั้นตอนใน เว็บ WordPress โดนแฮก ต้องทำอะไร หรือใช้ เครื่องมือฟรีเช็กเว็บติดไวรัส เป็นด่านแรก

ช่องโหว่ระดับ PHP แบบนี้จะมีมาอีก ถ้าอยากให้มีคนเช็กเวอร์ชัน PHP และแพตช์ให้ทุกเดือน ดูบริการ ดูแลเว็บ WordPress รายเดือน

คำถามที่พบบ่อย

อัปเดต WordPress เป็นเวอร์ชันล่าสุดแล้ว ปลอดภัยจาก PHP2Shell หรือยัง?

ยังไม่ปลอดภัย ช่องโหว่อยู่ในตัว PHP ซึ่งทำงานอยู่ใต้ WordPress การอัปเดต WordPress ปลั๊กอิน หรือธีม ไม่ได้อัปเดต PHP ให้ ต้องอัปเดต PHP บนเซิร์ฟเวอร์เป็น 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 ขึ้นไป

ปลั๊กอินความปลอดภัยอย่าง Wordfence กันช่องโหว่นี้ได้ไหม?

ไม่ควรพึ่ง ช่องโหว่ทำงานในชั้นของ PHP และการโจมตีบางแบบเกิดขึ้นก่อนโค้ดของแอปหรือปลั๊กอินจะเริ่มทำงาน โดยเฉพาะบน Apache mod_php ปลั๊กอินจึงอาจไม่ทันเห็นคำขอ ทางแก้คืออัปเดต PHP

ใช้ Cloudflare อยู่แล้ว ยังต้องอัปเดต PHP ไหม?

ต้องอัปเดต Cloudflare เปิดกฎ WAF ป้องกันให้ทุกแพ็กเกจตั้งแต่ 21 ตุลาคม 2026 แต่ระบุเองว่าเป็นชั้นป้องกันเสริม และช่วยได้เฉพาะทราฟฟิกที่ผ่าน Cloudflare ถ้าผู้โจมตียิงตรงไปที่ IP ของเซิร์ฟเวอร์ กฎ WAF จะไม่ทำงาน

เว็บยังใช้ PHP 7.4 หรือ 8.1 ต้องทำอย่างไร?

PHP 7.4 ถึง 8.1 ไม่มีรุ่นแก้ไขอย่างเป็นทางการ มีเพียงแพตช์ระดับซอร์สโค้ดหรือแพ็กเกจที่ผู้ให้บริการบางรายทำให้ ทางที่ปลอดภัยคือย้ายไป PHP 8.2 ขึ้นไป โดยทดสอบบนสำเนาเว็บและสำรองข้อมูลก่อน เพราะปลั๊กอินหรือธีมเก่าอาจไม่รองรับ

Site Health ยังแสดงเวอร์ชัน PHP เดิม แปลว่ายังไม่ได้แพตช์ใช่ไหม?

ไม่เสมอไป Linux distribution และ CloudLinux บางรุ่นใส่แพตช์ให้โดยไม่เปลี่ยนเลขเวอร์ชัน วิธีที่แน่นอนที่สุดคือถามโฮสต์ว่าได้ติดตั้ง Security Release วันที่ 21 ตุลาคม 2026 หรือแพ็กเกจที่ Backport แพตช์แล้วหรือยัง

อัปเดต PHP แล้วเว็บพัง ทำอย่างไรดี?

ดู Error Log ก่อนว่าเกิดจากอะไร PHP 8.4.27 และ 8.5.12 มีปัญหาที่ทำให้บางแอปที่ใช้ SimpleXML ล่มได้ ถ้าเป็นกรณีนี้อาจย้ายไปสาขาอื่นที่แพตช์แล้ว เช่น 8.3.36 แทน ไม่ควรถอยกลับไปเวอร์ชันที่มีช่องโหว่ ดูขั้นตอนไล่หาสาเหตุได้ที่ WordPress เว็บล่ม แก้ยังไง

แหล่งอ้างอิง

  1. The PHP Group. (2026). Upcoming Critical PHP Security Release. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://www.php.net/archive/2026.php#2026-10-20-1
  2. The PHP Group. (2026). Security advisory: Critical remote code execution vulnerabilities, update now. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://www.php.net/archive/2026.php#2026-10-21-5
  3. The PHP Group. (2026). Informational advisory: Session upload progress. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://www.php.net/archive/2026.php#2026-10-23-1
  4. The PHP Group. (2026). Updated PHP Windows builds for Brotli security fix. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://www.php.net/archive/2026.php#2026-10-26-1
  5. WordPress.org. (2026). Critical PHP Security Release. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://wordpress.org/news/2026/10/critical-php-security-release/
  6. Tenable. (2026). php2shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions About Critical PHP Remote Code Execution Vulnerabilities. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
  7. Palo Alto Networks Unit 42. (2026). Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/
  8. watchTowr. (2026). PHP2Shell FAQ: CVE-2026-109618 & CVE-2026-109619. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
  9. Cloudflare. (2026). Cloudflare deploys protections against php2shell vulnerability. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://blog.cloudflare.com/php-vulnerabilities-waf-protection/
  10. Codeable. (2026). PHP Security Release on 21 October 2026: What WordPress Site Owners Need to Do. สืบค้นเมื่อ 28 ตุลาคม 2026, จาก https://www.codeable.io/blog/php-vulnerability-cve-2026-109618/
อ่านบทความหลักของหมวดนี้ วิธีป้องกันเว็บ WordPress โดนแฮก: Checklist ที่ทำได้ทันที

บทความอื่นในหมวดนี้

LINE ส่งปัญหา