process-watcher

โฮสต์ไทย 78% จะไม่ได้แพตช์ PHP คืนนี้: คุณอ่านข่าวหลุดถูกหรือยัง? โฮสต์ไทย 78% จะไม่ได้แพตช์ PHP คืนนี้: คุณอ่านข่าวหลุดถูกหรือยัง? โดย Nokka (นก-กา) | นักเขียนอิสระสาย AI และระบบเปิด | ตรวจสอบข้อมูล ณ 21 ต.ค. 2026 บทความนี้เขียนโดย AI (deepseek-v4.1-flash · ผู้ให้บริการโมเดล: ollama-cloud) ผ่าน Hermes Agent ภายใต้การควบคุมและตรวจสอบคุณภาพโดยมนุษย์ - Nokka (นก-กา) ตัวเลขที่คนไทยควรเห็นก่อนสามทุ่ม จาก 18,701 โฮสต์ในประเทศไทยที่มีการประกาศเวอร์ชัน PHP ออกมาบนอินเทอร์เน็ต มี 14,619 โฮสต์ หรือ 78 เปอร์เซ็นต์ ที่รัน PHP 8.1 หรือเก่ากว่า ซึ่งจะไม่ได้รับแพตช์ใด ๆ [2] ตัวเลขนี้มาจากการนับของบริษัท Mallory ที่ตรวจแบนเนอร์ HTTP ผ่าน Shodan [2] และมันสำคัญเพราะคืนนี้เวลา 21:00 ตามเวลาไทย PHP จะปล่อยแพตช์แก้ช่องโหว่สองรายการที่ให้คะแนน CVSS v4.0 ไว้ 9.2 ทั้งคู่ [1] แต่แพตช์นั้นจะไปไม่ถึง 14,619 โฮสต์นี้ ข่าวช่วงทั้งวันถูกพูดถึงในแง่ "รีบแพตช์ให้ทัน" ซึ่งถูก แต่คำถามที่ตรงกับคนอ่านไทยกว่าคือ ถ้าเว็บของคุณอยู่ในกลุ่มที่ไม่มีอะไรให้ติดตั้ง จะทำอะไรคืนนี้ ค่าเฉลี่ยของโลกอยู่ที่ 59 เปอร์เซ็นต์ [2] แปลว่าประเทศไทยอยู่ในกลุ่มที่แย่กว่าค่าเฉลี่ยเกือบยี่สิบจุด ตัวเลขนี้หมายถึงอะไร และไม่หมายถึงอะไร Mallory อธิบายวิธีนับชัดเจนว่าเป็นการดูแบนเนอร์ HTTP ที่ประกาศเวอร์ชัน PHP ผ่าน Shodan ไม่ใช่การยืนยันว่าเครื่องนั้นมีช่องโหว่จริง [2] [4] ตัวเลขที่ควรรู้คู่กันคือ - 1.5 ล้านโฮสต์ทั่วโลกที่ประกาศเวอร์ชันออกมา - 883,717 โฮสต์ หรือ 59 เปอร์เซ็นต์ อยู่บน 8.1 หรือเก่ากว่า - และมีอีก 740,000 โฮสต์ที่ประกาศว่าใช้ PHP แต่ไม่บอกเวอร์ชัน ซึ่งนับรวมไม่ได้ [4] ข้อจำกัดที่ผมอยากย้ำคือ 78 เปอร์เซ็นต์ของไทยวัดจากโฮสต์ที่ยอมเปิดเผยรุ่นของตัวเอง ไม่ใช่จากเว็บไทยทั้งหมด และโฮสต์ที่ระวังตัวอาจเลือกปิดข้อมูลนี้ไปแล้ว ซึ่งทำให้สัดส่วนจริงต่างออกไปได้ทั้งสองทาง แต่ตัวเลขนี้ก็ยังบอกอะไรได้อย่างหนึ่ง คือในกลุ่มที่เปิดเผยตัว มันมีสัดส่วนสูงมากที่อยู่บนรุ่นเก่า เพื่อนบ้านเราอยู่ตรงไหน จากรายการเดียวกันของ Mallory [2] - เกาหลีใต้ 82 เปอร์เซ็นต์ จาก 30,102 โฮสต์ - กัมพูชา 79 เปอร์เซ็นต์ จาก 2,918 โฮสต์ - ไทย 78 เปอร์เซ็นต์ จาก 18,701 โฮสต์ - เวียดนาม 62 เปอร์เซ็นต์ จาก 10,183 โฮสต์ - สหรัฐ 54 เปอร์เซ็นต์ จาก 424,478 โฮสต์ - อินเดีย 53 เปอร์เซ็นต์ จาก 37,172 โฮสต์ และประเทศที่แย่ที่สุดในรายการคือแอลจีเรียที่หน้าเว็บปัดเป็น 100 เปอร์เซ็นต์ หรือ 31,306 จาก 31,447 โฮสต์ [2] ผมเห็นตัวเลขชุดนี้แล้วคิดว่าเรื่องนี้ไม่ใช่ปัญหาขององค์กรใหญ่ที่มีทีมดูแลระบบ แต่เป็นปัญหาของโฮสติ้งราคาถูกที่ล็อก PHP ไว้รุ่นเก่าเพราะกลัวเว็บลูกค้าพัง สามจุดที่ข่าวหลุดทำให้เข้าใจผิด จุดที่ 1 คะแนน 9.2 กับ 10.0 โพสต์บน Hacker News เมื่อวันที่ 20 ตุลาคมบอกว่าเป็นช่องโหว่ระดับ 10.0 [3] แต่ประกาศของ PHP ระบุ 9.2 ตามมาตรฐาน CVSS v4.0 [1] และ The Hacker News ระบุชัดว่า ตัวเลข 10.0 เป็นของสายลือ ไม่ใช่ของ PHP [4] จุดที่ 2 ช่วงเวอร์ชันที่กระทบ ยังไม่ยืนยัน หลายสำนักเขียนว่า "กระทบ PHP ตั้งแต่ 5 ขึ้นไป" จนกลายเป็นความเชื่อกันไปแล้ว แต่ The Hacker News ระบุว่า แม้แต่ FAQ ของ watchTowr เองก็เขียนว่าขอบเขตนี้ "ยังไม่ได้รับการยืนยันจากคำแนะนำของผู้ผลิตอย่างเป็นทางการ" และยังไม่มีคำอธิบายว่าต้องมีเงื่อนไขการตั้งค่าหรือฟีเจอร์อะไรจึงจะโดน [4] Huntress เขียนทำนองเดียวกันว่าเวอร์ชันที่กระทบและเวอร์ชันที่แก้แล้ว ยังไม่ได้รับการยืนยัน [5] ตัวเลข 78 เปอร์เซ็นต์ของไทยจึงเป็นตัวเลขของ "โฮสต์ที่อยู่บนรุ่นซึ่งจะไม่ได้แพตช์" ไม่ใช่ "โฮสต์ที่ยืนยันแล้วว่าโดน" จุดที่ 3 รหัส CVE ไม่ได้มาจาก PHP รหัส CVE-2026-109618 และ CVE-2026-109619 มาจากโพสต์ที่หลุดมา ส่วน ประกาศของ PHP ไม่ได้ระบุรหัสใดเลย [4] ผมลองค้นรหัสทั้งสองใน NVD เมื่อเช้านี้และไม่พบข้อมูลทั้งคู่ [9] สี่ชั่วโมงที่ข้อมูลวิ่งก่อนแพตช์ ไทม์ไลน์ที่ผมเรียงจากสองแหล่งคือ วันที่ 20 ตุลาคม เวลาราว 15:20 UTC มีโพสต์บน Hacker News ระบุว่ากำหนดเปิดเผยคือวันที่ 22 ตุลาคม และให้คะแนน 10.0 โดยเจ้าของโพสต์เองยอมรับว่าไม่มีหลักฐาน [3] [4] ต่อมา watchTowr โพสต์บน X ตอน 18:26 UTC ยืนยันว่าข้อมูลที่หลุดเป็นของจริง และบอกว่าทุกคนควรจะรอถึงวันพฤหัสบดี [6] และในคืนเดียวกันนั้นเอง PHP ออกประกาศเวลา 19:33 UTC กำหนดวันพุธ ซึ่งเร็วกว่าวันที่ watchTowr บอกหนึ่งวัน [4] จากโพสต์แรกถึงประกาศของ PHP ห่างกัน 4 ชั่วโมง 12 นาที ผมอ่านลำดับนี้แล้วเข้าใจว่า ประกาศของ PHP ออกมาเพราะข้อมูลหลุด ไม่ใช่เพราะมีคนค้นพบช่องโหว่ใหม่ และนั่นทำให้กำหนดเวลาที่ทุกคนจำได้นั้นสั้นลงหนึ่งวัน นี่เป็นการตีความของผมจากลำดับเวลา ไม่ใช่ถ้อยแถลงของ PHP ทำไม 8.1 ถึงไม่มีวันได้แพตช์ เพราะ PHP ปล่อยแพตช์ให้เฉพาะ branch ที่ยังอยู่ในช่วงสนับสนุน ซึ่งตอนนี้มีสี่ตัวคือ 8.2, 8.3, 8.4 และ 8.5 [7] The Hacker News สรุปไว้ตรง ๆ ว่า ทุกอย่างที่เก่ากว่านั้น รวมถึง 8.1, 8.0, 7.x และ 5.x ถือว่าหมดอายุและจะไม่ได้รับแพตช์จาก PHP [4] หน้า EOL ของ php.net แสดงรุ่นเก่าไว้ครบ พร้อมวันหมดอายุ เช่น 5.0 หมด support ไปตั้งแต่ 5 กันยายน 2005, 5.4 หมด 3 กันยายน 2015 และ 5.6 หมด 31 ธันวาคม 2018 [8] ส่วน Mallory เขียนว่าเวอร์ชันที่กระทบย้อนไปถึงปี 2004 [2] ผมเปิดบันทึกการเปลี่ยนแปลงของ PHP เองและเห็นว่าเวอร์ชัน 5.0.0 ออกเมื่อวันที่ 13 กรกฎาคม 2004 [12] ซึ่งตรงกับปีที่ Mallory อ้าง ส่วนรุ่นที่เก่าที่สุดในตาราง EOL คือ 3.0 ซึ่งหมดไปตั้งแต่ปี 2000 [8] ถ้าคุณอยู่ใน 14,619 โฮสต์นั้น The Hacker News รวบรวมทางเลือกไว้สามทาง คืออัปเกรดขึ้น branch ที่ยังได้รับการสนับสนุน ตัดเครื่องออกจากอินเทอร์เน็ต หรือวางไว้หลัง VPN หรือ WAF จนกว่าจะย้ายได้ [4] และถ้าตัดออกจากอินเทอร์เน็ตไม่ได้จริง ๆ คำแนะนำของ CERT-EU ก็ยังใช้ได้ คือให้พิจารณาแยกแอปที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายสาธารณะจนกว่าจะมีแพตช์ [10] อีกทางที่หลายคนลืมคือ ถามผู้ให้บริการโฮสติ้งหรือผู้จำหน่ายลินุกซ์ของคุณเรื่อง backport เพราะบางรายดูแลโค้ดรุ่นเก่าเองแยกจาก php.net [4] แต่ผมยังไม่พบประกาศจากผู้จำหน่ายรายใดที่ยืนยันว่าจะ backport ช่องโหว่ชุดนี้ให้ ต้องรอหลังแพตช์ออกก่อน สำหรับธุรกิจไทยที่ฝากเว็บไว้กับโฮสติ้ง ผมคิดว่าคำถามที่ต้องส่งไปหาผู้ให้บริการวันนี้มีสองข้อ คือเว็บของเรารัน PHP รุ่นไหน และถ้าเป็นรุ่นที่หมดอายุแล้ว มีแผนย้ายเมื่อไหร่ หลังแพตช์ออก ต้องดูอะไรต่อ ถ้าคุณแพตช์ทัน งานยังไม่จบ เพราะช่องโหว่ประเภทนี้มักถูกใช้ก่อนที่คนส่วนใหญ่จะอัปเดตเสร็จ The Hacker News แนะนำให้เฝ้าดูว่า PHP ไปเรียกโปรแกรมอะไรบ้าง โดยให้แจ้งเตือนเมื่อ php-fpm, php-cgi, httpd หรือ apache2 ไปเรียกเชลล์ ตัวแปลภาษา หรือเครื่องมือดาวน์โหลด [4] เครื่องมือที่ช่วยเรื่องนี้คือ process-watcher ของ Florian Roth ซึ่งบันทึกทุกโปรแกรมที่โปรเซส PHP เรียก พร้อมบรรทัดคำสั่ง [4] [11] ข้อจำกัดที่เจ้าของเครื่องมือเขียนเองคือ มันเห็นโปรแกรมหลังเริ่มทำงานแล้ว และไม่ได้ป้องกันอะไรเลย [4] ถ้าตรวจพบสิ่งผิดปกติ ให้แยกเซิร์ฟเวอร์ออกก่อน แล้วเก็บ log ของเว็บเซิร์ฟเวอร์และ PHP ไว้ จากนั้นหาสิ่งที่มักถูกทิ้งไว้ คือ web shell, ไฟล์ใหม่ในโฟลเดอร์เว็บ, cron job ใหม่, scheduled task ใหม่ และบัญชีผู้ใช้ใหม่ [4] ตัวอย่างคำสั่งเบื้องต้นที่ช่วยดูว่าโปรเซส PHP มีลูกอะไรผิดปกติ ps -eo pid,ppid,user,cmd | grep -E "php-fpm|php-cgi|httpd|apache2" คำสั่งนี้เป็นเพียงการดูภาพรวม ไม่ใช่ระบบแจ้งเตือน แค่ช่วยให้คุณเห็นว่ามีอะไรแปลกตาไหม บทเรียนจากปี 2024 The Hacker News ยกกรณี CVE-2024-4577 ซึ่งเป็นช่องโหว่ใน PHP โหมด CGI บนวินโดวส์ที่เปิดเผยในเดือนมิถุนายน 2024 Akamai พบความพยายามโจมตีเซิร์ฟเวอร์ honeypot ของตัวเอง ภายใน 24 ชั่วโมง หลังช่องโหว่เปิดเผย [4] ผมยกกรณีนี้มาเพราะมันตอบคำถามที่หลายคนถามว่า "ต้องรีบขนาดนั้นเลยหรือ" คำตอบคือรีบ เพราะมีคนรออยู่แล้ว หลักฐานที่ผมเปิดด้วยตัวเอง และสิ่งที่ยังยืนยันไม่ได้ ผมอ่านบทความของ The Hacker News ฉบับวันที่ 21 ตุลาคม เต็มทั้งฉบับ และตามไปเปิดต้นทางที่มันอ้างถึง [4] ผมเปิดงานของ Mallory อ่านวิธีนับและตัวเลขรายประเทศจากต้นฉบับ รวมถึงบรรทัดของประเทศไทยที่เขียนว่า 78 เปอร์เซ็นต์ จาก 18,701 โฮสต์ [2] ผมเปิดงานของ Huntress ฉบับวันที่ 21 ตุลาคม และอ่านข้อความที่ระบุว่าเวอร์ชันที่กระทบยังไม่ยืนยัน [5] ผมเปิดหน้า EOL และหน้า supported versions ของ php.net เพื่อตรวจวันหมดอายุของรุ่นเก่าและดูว่าเหลือ branch ไหน [7] [8] ผมเปิดคลังของ process-watcher บน GitHub เพื่อยืนยันว่ามีอยู่จริงและมีผู้ดูแลชื่อ Neo23x0 [11] สิ่งที่ผมยังไม่ได้ตรวจ ผมไม่มีทางเข้าถึงข้อมูลดิบของ Shodan เพื่อนับโฮสต์เอง ตัวเลข 78 เปอร์เซ็นต์จึงเป็นตัวเลขของ Mallory ไม่ใช่ของผม ผมยังไม่เห็นรายละเอียดทางเทคนิคของช่องโหว่ เพราะยังไม่ถูกเปิดเผย ณ เวลาที่เขียน และผมยังไม่ยืนยันว่าขอบเขต "ตั้งแต่ PHP 5 ขึ้นไป" เป็นจริง เพราะแหล่งที่เป็นทางการที่สุดที่ผมเข้าถึงได้ยังไม่ระบุ คำถามที่ผมฝากไว้คืนนี้ ถ้าเว็บของคุณอยู่ใน 14,619 โฮสต์นั้น คุณรู้แล้วหรือยังว่าคืนนี้จะทำอะไร เพราะสำหรับกลุ่มนี้ คำถามไม่ใช่ "แพตช์เสร็จกี่โมง" แต่เป็น "จะย้ายออกจากเวอร์ชันนี้ได้เมื่อไหร่" แหล่งอ้างอิง [1] The PHP Development Team, "Upcoming Critical PHP Security Release", php.net News Archive, 20 ต.ค. 2026 (กำหนด 21 ต.ค. 2026 เวลา 14:00 UTC · CVSS v4.0 9.2 ทั้งสองรายการ · สงวนสิทธิ์ปล่อยก่อน). php.net [2] Jonathan Cran, "PHP RCE in 8.5 and Earlier: CVE-2026-109618 and CVE-2026-109619", Mallory, 20 ต.ค. 2026 (1.5 ล้านโฮสต์ที่ประกาศเวอร์ชัน · 883,717 โฮสต์ หรือ 59 เปอร์เซ็นต์ อยู่บน 8.1 หรือเก่า · ไทย 78 เปอร์เซ็นต์ จาก 14,619 ใน 18,701 โฮสต์ · กัมพูชา 79 จาก 2,918 · เวียดนาม 62 จาก 10,183 · เกาหลีใต้ 82 จาก 30,102 · อินเดีย 53 จาก 37,172 · สหรัฐ 54 จาก 424,478 · แอลจีเรีย 100 จาก 31,447 · วิธีนับจากแบนเนอร์ HTTP ผ่าน Shodan). mallory.ai [3] petecooper, "Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming", Hacker News, 20 ต.ค. 2026 เวลาราว 15:20 UTC (ระบุกำหนด 22 ต.ค. 18:00 CEST · คะแนน 10.0 · เจ้าของโพสต์ยอมรับว่าไม่มีหลักฐาน). news.ycombinator.com [4] Swati Khandelwal, "PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert", The Hacker News, 21 ต.ค. 2026 (ประกาศ PHP เวลา 19:33 UTC · 10.0 เป็นตัวเลขของสายลือ · FAQ ของ watchTowr ระบุขอบเขตยังไม่ยืนยัน · ประกาศ PHP ไม่ระบุรหัส CVE · 8.1 และเก่าไม่ได้รับแพตช์ · 740,000 โฮสต์ไม่บอกเวอร์ชัน · แนะนำการเฝ้าดูโปรเซสลูก · กรณี CVE-2024-4577 ที่ Akamai เห็นการโจมตีใน 24 ชั่วโมง). thehackernews.com [5] John Hammond, "Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities", Huntress, 21 ต.ค. 2026 (เวอร์ชันที่กระทบและเวอร์ชันที่แก้ยังไม่ยืนยัน · watchTowr พิสูจน์ CVE-2026-109618 ได้ · ยังไม่พบการโจมตีในสภาพแวดล้อมของพันธมิตร ณ 20 ต.ค.). huntress.com [6] watchTowr, โพสต์บน X, 20 ต.ค. 2026 เวลา 18:26 UTC (ยืนยันว่าข้อมูลหลุดเป็นของจริง · กำหนดเดิมวันพฤหัสบดี). x.com [7] The PHP Group, "Supported Versions", php.net, สืบค้น 21 ต.ค. 2026 (8.2 · 8.3 · 8.4 · 8.5). php.net [8] The PHP Group, "Unsupported Branches", php.net, สืบค้น 21 ต.ค. 2026 (5.0 หมด 5 ก.ย. 2005 · 5.4 หมด 3 ก.ย. 2015 · 5.6 หมด 31 ธ.ค. 2018 · 3.0 หมด 20 ต.ค. 2000). php.net [9] NIST, National Vulnerability Database, ผลค้นหา CVE-2026-109618 และ CVE-2026-109619, สืบค้น 21 ต.ค. 2026 (ไม่พบรายการทั้งสองรหัส). services.nvd.nist.gov [10] CERT-EU, "Critical Vulnerabilities in PHP", Security Advisory 2026-018, 21 ต.ค. 2026 v1.0 (แนะนำให้พิจารณาแยกแอปที่เปิดสู่อินเทอร์เน็ตออกจากเครือข่ายจนกว่าจะแก้ได้). cert.europa.eu [11] Florian Roth, "process-watcher", GitHub, สืบค้น 21 ต.ค. 2026 (เครื่องมือเฝ้าดูโปรเซสเพื่อตรวจจับการโจมตี). Neo23x0/process-watcher [12] The PHP Group, "PHP 5 ChangeLog", php.net, สืบค้น 21 ต.ค. 2026 (Version 5.0.0 ออก 13 ก.ค. 2004). php.net

process-watcher WAFもEDRも持たない人のための、1台分のミニEDR。PHPが起動するシェルを検知・キルできる。 Neo23x0/process-watcher

Watching PHP with process-watcher: quick start

Watching PHP with process-watcher: quick start