วิเคราะห์และรีวิว: ช่องโหว่ PHP ระดับวิกฤตอาจทำให้เว็บไซต์หยุดทำงานวันนี้

ช่องโหว่ PHP นี้มีความรุนแรง 9.2/10 และเปิดทางให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้ กระทบ PHP ตั้งแต่เวอร์ชัน 5 ขึ้นไป จนอาจนำไปสู่การแก้เว็บไซต์หรือขโมยข้อมูล

แพตช์ออกแล้ว แต่ติดตั้งผ่าน automatic updates ไม่ได้ ผู้ดูแลต้องอัปเดต PHP ด้วยตนเอง หากยังแก้ไม่ได้ ควรแยกระบบที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่าย หรือนำเว็บไซต์ออฟไลน์ชั่วคราวเพื่อหยุดความเสี่ยง

จุดที่ควรมองเห็นในข่าวนี้

ช่องโหว่มีระดับความรุนแรง 9.2 จาก 10 และเกี่ยวข้องกับระบบที่ PHP ใช้งานอยู่ทั่วเว็บ ไม่ใช่ปัญหาของผลิตภัณฑ์ชิ้นเดียว

เมื่อช่องโหว่ไม่ได้อยู่ไกลตัว

ผู้ดูแลเว็บไซต์ต้องตัดสินใจทันทีว่าจะอัปเดต PHP แยกระบบที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่าย หรือนำเว็บออฟไลน์ชั่วคราว เพราะช่องโหว่นี้เปิดทางให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้

GrapheneOS เลือกปิดฟอรัมผู้ใช้ชั่วคราว หลังมีการพัฒนา proof of concept และไม่ต้องการเสี่ยง ขณะที่คำแนะนำจากหน่วยงานความปลอดภัยระบุว่า หากยังแก้ไขไม่ได้ การแยกระบบหรือปิดเซิร์ฟเวอร์อาจเป็นทางเลือกที่เหมาะสมที่สุดจนกว่าจะติดตั้ง patch ได้.

PHP อยู่ตรงไหนในโลกของเว็บไซต์

PHP เป็นภาษาที่ใช้สร้างเว็บไซต์และเว็บแอป จึงอยู่เบื้องหลังบริการออนไลน์จำนวนมาก ช่องโหว่ในระดับ PHP เลยไม่ได้กระทบแค่เว็บใดเว็บหนึ่ง แต่โยงไปถึงเซิร์ฟเวอร์ที่ใช้ PHP เป็นพื้นฐาน

กรณี WordPress เห็นภาพชัด เพราะทุกเว็บไซต์ WordPress ทำงานบนเซิร์ฟเวอร์ที่ใช้ PHP และ WordPress ระบุว่าระบบของตัวเองรองรับมากกว่า 40 เปอร์เซ็นต์ของอินเทอร์เน็ต นี่จึงเป็นเหตุผลว่าทำไม patch ของ PHP ถึงมีผลกับเว็บไซต์วงกว้าง.

จาก PHP รุ่นเก่าสู่แพตช์ที่ต้องติดตั้ง

PHP ตั้งแต่รุ่น 5 ขึ้นไปถูกระบุว่าได้รับผลกระทบจาก Remote Code Execution ผู้โจมตีอาจสั่งรันโค้ดบนเซิร์ฟเวอร์ แก้เว็บไซต์ หรือขโมยข้อมูลได้

พูดตรงๆ งานนี้ไม่ใช่แค่อัปเดตปลั๊กอิน เพราะแพตช์ต้องจัดการที่ PHP และเซิร์ฟเวอร์โดยตรง.

ช่องโหว่นี้ทำอะไรกับระบบได้บ้าง

ช่องโหว่นี้เป็น Remote Code Execution ที่อาจเปิดทางให้ผู้โจมตีรันโค้ดของตัวเองบนเซิร์ฟเวอร์ PHP ได้ ตั้งแต่ PHP 5 เป็นต้นมา ผลที่ตามมาคือแก้ไขหน้าเว็บไซต์ หรือขโมยข้อมูลจากระบบได้

ในทางปฏิบัติ เว็บ WordPress ก็อยู่ในกลุ่มเสี่ยง เพราะทำงานบนเซิร์ฟเวอร์ที่ใช้ PHP หากยังติดตั้งแพตช์ไม่ได้ หน่วยงานความปลอดภัยแนะนำให้แยกแอปที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายสาธารณะ หรือปิดเว็บไซต์ชั่วคราวจนกว่าจะแก้ไขเสร็จ เพราะการปิดเซิร์ฟเวอร์อาจเป็นทางเลือกที่เหมาะสมที่สุดในช่วงนี้

แพตช์ทันทีหรือปิดระบบชั่วคราว

ทางเลือกแรกคือติดตั้งแพตช์ PHP โดยเร็ว ซึ่งผู้พัฒนา PHP ระบุว่าเป็นวิธีแก้เดียว และต้องอัปเดตด้วยตัวเอง เพราะติดตั้งผ่าน automatic updates ไม่ได้

ถ้ายังแพตช์ไม่ได้ EU Computer Emergency Response Team และ UK National Cyber Security Centre แนะนำให้แยกแอปที่เชื่อมต่ออินเทอร์เน็ตออกจากเครือข่ายสาธารณะ หรือปิดเซิร์ฟเวอร์ชั่วคราว โดยผู้พัฒนา PHP บอกว่าการปิดระบบอาจเป็นทางเลือกที่เหมาะสมที่สุด

สิ่งที่แพตช์นี้ช่วยแก้ และสิ่งที่ยังต้องทำเอง

แพตช์นี้แก้ช่องโหว่ Remote Code Execution ระดับวิกฤต 2 รายการ ซึ่งอาจเปิดทางให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ แก้เว็บไซต์ หรือขโมยข้อมูลได้

ต้นทุนของการปล่อยช่องโหว่ค้างไว้

ถ้ายังไม่อัปเดต PHP เว็บไซต์อาจถูกโจมตีจนระบบเสียหาย ข้อมูลรั่วไหล หรือถูกแก้เนื้อหาโดยไม่ได้รับอนุญาต ผลกระทบไม่ได้จำกัดอยู่แค่เซิร์ฟเวอร์ แต่ลามถึงผู้ใช้และบริการที่ต้องพึ่งเว็บไซต์ด้วย

กรณีที่ยังติดตั้งแพตช์ไม่ได้ องค์กรอาจต้องแยกแอปที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายสาธารณะ หรือปิดเว็บไซต์ไปก่อน ภาระจึงตกอยู่กับทีมที่ต้องหาผู้รับผิดชอบ อัปเดต PHP ด้วยตนเอง และรับมือกับช่วงที่บริการไม่พร้อมใช้งาน

แพตช์ PHP ออกแล้ว และผู้ใช้ควรอัปเกรดทันทีที่ release พร้อมใช้งาน แต่การลดความเสี่ยงเริ่มจากการรู้ก่อนว่าใครดูแล PHP บนเซิร์ฟเวอร์ แล้วลงมืออัปเดตให้ถูกจุด

คำเตือนของ Sansec คาดว่าอาจเห็นการโจมตีวงกว้างภายใน 15 นาทีหลังแพตช์ออก ขณะที่ Cloudflare รายงานการโจมตีระยะแรกแล้ว ช่องว่างระหว่าง “แพตช์ออก” กับ “อัปเดตเสร็จ” จึงไม่ใช่เวลาที่ควรปล่อยผ่านไปเฉยๆ