NSA เตือนช่องโหว่ร้ายแรงสองรายการในภาษา PHP เรียกร้องให้อัปเดตทันที
สำนักความมั่นคงแห่งชาติสหรัฐฯ เตือนช่องโหว่สองรายการในภาษา PHP ให้คะแนน 9.2 อาจอนุญาตให้รันคำสั่งจากระยะไกลและยึดเซิร์ฟเวอร์โดยไม่ต้องล็อกอิน
สำนักความมั่นคงแห่งชาติสหรัฐฯ (NSA) เตือนถึงช่องโหว่ร้ายแรงสองช่องในภาษาโปรแกรม PHP ซึ่งอาจอนุญาตให้ผู้โจมตีรันคำสั่งจากระยะไกลและควบคุมเซิร์ฟเวอร์ของเว็บไซต์และแอปพลิเคชัน ตามรายงานที่สำนักข่าวอิรักติดตาม
รายงานระบุว่าคำเตือนออกเมื่อวันพุธ และระบุช่องโหว่ด้วยรหัส CVE-2026-109618 และ CVE-2026-109619 โดยให้คะแนนความรุนแรง 9.2 จาก 10 และย้ำว่าปัญหาอยู่ในภาษา PHP เองไม่ใช่ในปลั๊กอินหรือระบบจัดการเนื้อหาเฉพาะ
เตือนว่าการถูกโจมตีช่องโหว่ทั้งสองอาจนำไปสู่การเข้าถึงข้อมูลที่เป็นความลับ เช่น รหัสผ่าน โทเค็นความปลอดภัย และคีย์ของ API รวมทั้งอาจทำให้ผู้โจมตีแก้ไขเนื้อหาเว็บไซต์และเข้าถึงข้อมูลผู้ใช้งานได้
การทดสอบด้านความปลอดภัยชี้ให้เห็นถึงความเป็นไปได้ในการใช้ประโยชน์จากช่องโหว่ในสภาพแวดล้อมที่รันระบบจัดการเนื้อหาอย่าง WordPress, Drupal และ Joomla แม้ว่าช่องโหว่จะไม่ได้อยู่ในระบบเหล่านั้นเอง แต่เป็นปัญหาในภาษาโปรแกรมที่ใช้อยู่
รายงานระบุว่าการค้นพบช่องโหว่เกิดขึ้นจากความร่วมมือของทีมวิจัยเฉพาะทางรวมถึงบริษัท Calif และ Wez ร่วมกับทีมพัฒนา PHP และบริษัท OpenAI โดยเครื่องมือปัญญาประดิษฐ์ช่วยวิเคราะห์ข้อบกพร่องของโค้ดและเปิดเผยเส้นทางการโจมตี
ระบุด้วยว่า บั๊กบางตัวที่เป็นสาเหตุของช่องโหว่เหล่านี้มีมาตั้งแต่สิบกว่าปีที่ผ่านมา แต่ความซับซ้อนในการใช้ประโยชน์ทำให้ไม่ถูกค้นพบถึงอันตรายก่อนหน้านี้
ทีมพัฒนา PHP ออกแพตช์ด้านความปลอดภัยฉุกเฉินเพื่อแก้ไขช่องโหว่ ซึ่งครอบคลุมเวอร์ชัน 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 และรายงานเรียกร้องให้องค์กรและผู้ดูแลเว็บไซต์ติดตั้งการอัปเดตเหล่านี้ทันที พร้อมเตือนว่ามาตรการป้องกันชั่วคราวไม่ให้การป้องกันครบถ้วน
