CZ เตือนเกี่ยวกับความเสี่ยงด้านความปลอดภัยของเว็บไซต์ครั้งใหญ่: PHP2Shell คืออะไร?

ในวันที่ 21 ตุลาคม 2026 ทีมงาน PHP ได้ปล่อย แพตช์ความปลอดภัยฉุกเฉิน สำหรับช่องโหว่ที่เกี่ยวข้องกับความปลอดภัยในหน่วยความจำอย่างร้ายแรงสองจุดที่ตอนนี้รู้จักกันในชื่อ PHP2Shell. 

ซึ่งถูกติดตามในฐานะ CVE-2026-109618 และ CVE-2026-109619 ช่องโหว่นี้ส่งผลกระทบเกือบทุกเวอร์ชันของ PHP ตั้งแต่ 5.4 เป็นต้นไป และสามารถอนุญาตการดำเนินการรหัสระยะไกลที่ไม่ได้รับการพิสูจน์และการเปิดเผยหน่วยความจำที่ละเอียดอ่อน.

ผู้ก่อตั้ง Binance Changpeng Zhao (CZ) ได้ออกคำเตือนความปลอดภัย CZ ที่เข้มงวดและคำเตือนจากเว็บไซต์ CZ โดยเตือนให้ผู้ใช้ระมัดระวังเป็นพิเศษเมื่อเยี่ยมชมเว็บไซต์ใด ๆ ในอีกไม่กี่วันข้างหน้า. 

เนื่องจากหลายเว็บไซต์ใช้ PHP ที่ล้าสมัย การโหลดหน้าเว็บที่ถูกบุกรุกอาจทำให้ผู้เยี่ยมชมเสี่ยงต่อการขโมยข้อมูลประจำตัวหรือการโจมตีในระดับอุปกรณ์.

คู่มือนี้ครอบคลุมว่า PHP2Shell คืออะไร รายละเอียดทางเทคนิค แพตช์ในเดือนตุลาคม 2026 ผลกระทบในโลกจริง (โดยเฉพาะใน WordPress และเว็บไซต์ที่เกี่ยวข้องกับคริปโต) และขั้นตอนที่ใช้ในการป้องกันกระเป๋าเงินคริปโตและบัญชีของคุณ.

ข้อสรุปที่สำคัญ

• PHP2Shell เป็นคู่ของข้อผิดพลาดความปลอดภัยในหน่วยความจำอย่างรุนแรงในตัวรันไทม์ของ PHP เองซึ่งเปิดให้มีการดำเนินการรหัสระยะไกลที่ไม่ได้รับการพิสูจน์และการเปิดเผยหน่วยความจำบนเซิร์ฟเวอร์ที่ได้รับผลกระทบ.
• แพตช์อย่างเป็นทางการมีให้เฉพาะสำหรับ PHP 8.2–8.5; เวอร์ชันเก่ากว่ายังคงมีช่องโหว่โดยไม่มีการแก้ไขจากผู้จำหน่าย.
• ผู้ใช้ควรหลีกเลี่ยงเว็บไซต์ที่น่าสงสัย เปิดใช้งาน 2FA ใช้กระเป๋าเงินฮาร์ดแวร์ และตรวจสอบว่าพลตฟอร์มที่พวกเขาไว้วางใจ (รวมถึงการแลกเปลี่ยน) ได้ยืนยันว่ามันไม่ได้ใช้ PHP ที่มีช่องโหว่.

PHP2Shell คืออะไร?

แหล่งที่มา: php2shell.com

PHP2Shell เป็นชื่อชุมชนสำหรับสองประเภทของช่องโหว่ที่เกี่ยวข้องในแกนหลักของ PHP. 

แตกต่างจากข้อผิดพลาดในปลั๊กอินหรือธีมทั่วไป ข้อบกพร่องเหล่านี้ซ่อนลึกอยู่ในวิธีที่ PHP จัดการหน่วยความจำเมื่อมีการร้องขอล้มเหลวและวิธีการทำความสะอาดสถานะทั่วโลกระหว่างการร้องขอหรือกระบวนการทำงาน.

ข้อบกพร่องสามารถทิ้งตัวชี้ที่เสียหายหรือไม่เป็นปัจจุบันไว้ เบราว์เซอร์ที่ส่งคำขอ HTTP ที่สร้างขึ้นอย่างรอบคอบบ่อยครั้งเป็นการอัปโหลดแบบหลายส่วนขนาดใหญ่ สามารถกระตุ้นเงื่อนไขการใช้งานหลังจากการปล่อย (use-after-free) การสับสนประเภท (รวมถึงใน OPcache) และการใช้หน่วยความจำข้ามการร้องขอ. 

ผลลัพธ์: ความสามารถในการอ่านหน่วยความจำกระบวนการที่ละเอียดอ่อน (รหัสผ่าน โทเค็น คีย์ API) หรือการดำเนินการรหัสระยะไกลอย่างเต็มที่โดยไม่มีการพิสูจน์ตัวตนใด ๆ.

นักวิจัยที่ Wiz, Calif, OpenAI, และคนอื่น ๆ ได้แสดงให้เห็นการดำเนินการรหัสก่อนการพิสูจน์ (RCE) บนภาพคอนเทนเนอร์ล่าสุดของ WordPress, Drupal, และ Joomla. แม้แต่แอปพลิเคชัน PHP ง่าย ๆ “Hello World” ก็สามารถมีช่องโหว่ได้เนื่องจากปัญหาเกิดขึ้นในรันไทม์ ไม่ใช่ในรหัสแอปพลิเคชัน.

PHP มีพลังประมาณ 70% ของเว็บไซต์ทั้งหมด รวมถึงส่วนใหญ่ของการติดตั้ง WordPress นั่นคือเหตุผลที่ช่องโหว่ด้านความปลอดภัยของ PHP ปี 2026 ถูกเปรียบเทียบกับเหตุการณ์ระดับโครงสร้างในอดีตเช่น Heartbleed หรือ Log4Shell.

CVE สองตัวในภาพรวม

ทั้งคู่ได้รับคะแนน CVSS 9.2 การรั่วไหลก่อนหน้านี้ได้อ้างว่าได้คะแนนเต็ม 10.0.

ไทม์ไลน์ของแพตช์ความปลอดภัย PHP ตุลาคม 2026

• วันที่ 20 ตุลาคม: รายละเอียดของข้อบกพร่อง RCE ของ PHP ที่สำคัญสองจุดเริ่มมีการแพร่กระจาย (รวมถึงหมายเลข CVE และคะแนน CVSS ที่อ้างว่าเป็น 10.0) นักวิจัยยืนยันว่าการรั่วไหลเป็นเรื่องจริงแต่ยังคงอยู่ภายใต้การห้ามเผยแพร่.
• วันที่ 21 ตุลาคม: PHP ปล่อยแพตช์เร็วกว่าที่วางแผนไว้เดิม Cloudflare ได้เริ่มใช้งาน WAF ป้องกัน (รวมถึงความสามารถในการตรวจจับธุรกรรมทั้งหมดใหม่) ชั่วโมงก่อนการเปิดเผยต่อสาธารณะ.
• ไม่นานหลังจากการเผยแพร่: การแสวงหาผลประโยชน์ได้รับการยืนยันในโลกแห่งความเป็นจริง ทีมรักษาความปลอดภัยสังเกตเห็นผู้โจมตีที่เปลี่ยนแปลง payload เพื่อหลีกเลี่ยงการป้องกันในระยะเริ่มแรก.
• ตั้งแต่วันที่ 22 ตุลาคมเป็นต้นไป: องค์กรต่าง ๆ กำลังเร่งรีบในการตรวจสอบและอัปเกรดการใช้งาน PHP ในขณะที่ WAF ให้การคุ้มครองชั่วคราว.

ทำไม CZ ถึงออกคำเตือนจากเว็บไซต์

แหล่งที่มา: เว็บไซต์ php2shell

ในโพสต์ที่แพร่กระจายอย่างรวดเร็วใน Twitter ของคริปโต CZ เขียนว่า:

“เรียกฉันว่าพารานอยด์ แต่ให้ระมัดระวังเป็นพิเศษเมื่อเยี่ยมชมเว็บไซต์ใด ๆ ในไม่กี่วันข้างหน้า เพราะผู้ดูแลเว็บไซต์บางคนไม่ค่อยทันสมัยกับแพตช์ความปลอดภัย… การแสวงหาผลประโยชน์ได้รับการยืนยันในโลกแห่งความเป็นจริงไม่นานหลังจากการเปิดเผย…การโจมตีที่ไม่ได้รับการพิสูจน์อาจเปลี่ยนเว็บไซต์ที่เข้าชมเป็นช่องทางสำหรับการขโมยข้อมูลประจำตัวหรือการโจมตีอุปกรณ์.”

คำเตือนด้านความปลอดภัยของ CZ นี้ไม่ได้จำกัดเพียงแค่แพลตฟอร์มคริปโตเท่านั้น เพราะการโจมตีไม่ต้องการการเข้าสู่ระบบ บล็อก WordPress ที่ถูกบุกรุก ร้านค้าอีคอมเมิร์ซ หรือแม้แต่เว็บไซต์ข่าวที่ทำงานกับ PHP ที่เปราะบาง สามารถกลายเป็นการโจมตีแบบน้ำหลากได้

ผู้เยี่ยมชมอาจถูกฟิชชิ่งข้อมูลประจำตัว ขโมยโทเค็นเซสชัน หรือส่งมอบมัลแวร์

BNB Chain และ PancakeSwap ได้ยืนยันอย่างรวดเร็วว่าพวกเขาใช้ PHP ในสแตกของพวกเขา CZ สนับสนุนโครงการอื่น ๆ ให้ประมวลผลแถลงการณ์ที่คล้ายกัน เน้นย้ำว่าความโปร่งใสเองก็เป็นส่วนหนึ่งของความปลอดภัยของเว็บไซต์คริปโตในขณะนี้

ผลกระทบต่อผู้ใช้คริปโตและการแลกเปลี่ยน

ความเปราะบางของ PHP2Shell ทำให้เกิดความเสี่ยงที่เฉพาะเจาะจงกับคริปโตหลายประการ:

• การโจมตีฟิชชิ่งคริปโต: ผู้โจมตีสามารถเปลี่ยนเว็บไซต์ธรรมดาให้กลายเป็นหน้าเก็บข้อมูลประจำตัวหรือแทรกสคริปต์ที่เป็นอันตรายซึ่งมุ่งเป้าไปที่กระเป๋าเงินบนเบราว์เซอร์
• ความเสี่ยงของการแลกเปลี่ยนและแพลตฟอร์ม: บริการใด ๆ ที่มีส่วนหน้าหรือแผงผู้ดูแลระบบที่ทำงานด้วย PHP ที่เปราะบางจะมีความเสี่ยงจนกว่าจะได้รับการแก้ไข
• เวกเตอร์การระบายกระเป๋าเงิน: การเปิดเผยหน่วยความจำสามารถทำให้กุญแจ API คุกกี้เซสชัน หรือแม้แต่กุญแจส่วนตัวหลุดออกมาได้หากเคยถูกประมวลผลโดย PHP worker
• ความเสี่ยงจากซัพพลายเชนและบุคคลที่สาม: โครงการคริปโตหลายแห่งพึ่งพา WordPress สำหรับบล็อก เอกสาร หรือเว็บไซต์การตลาด บล็อกที่ถูกบุกรุกสามารถทำลายชื่อเสียงและความไว้วางใจของผู้ใช้ได้

แม้ว่าการแลกเปลี่ยนขนาดใหญ่ไม่ใช้ PHP ผู้ใช้ที่เข้าชมเว็บไซต์บุคคลที่สามที่ยังไม่ได้รับการแก้ไขในขณะที่ล็อกอินในบัญชีการแลกเปลี่ยนหรือกระเป๋าเงินบนเบราว์เซอร์จะยังคงต้องเผชิญความเสี่ยงที่สูงขึ้น

อ่านเพิ่มเติม: CZ BOOK (CZBOOK): โทเค็น BSC ที่ได้รับแรงบันดาลใจจาก CZ ของ Binance – ราคา & คู่มือ 2025

แพตช์อย่างเป็นทางการและเวอร์ชันที่รองรับ

เฉพาะสาขา PHP สี่สาขาที่รับการสนับสนุนในปัจจุบันได้รับการแก้ไข:

ทุกสาขาที่เก่ากว่า (8.1 และต่ำกว่า, 7.x, 5.x) หมดอายุแล้ว พวกเขาจะไม่เคยได้รับแพตช์ PHP อย่างเป็นทางการ ผู้ดำเนินการต้องอัปเกรด แยกระบบ หรือวางไว้หลัง WAF และการควบคุมเครือข่ายที่แข็งแกร่ง

การอัปเดต WordPress, Drupal หรือปลั๊กอินเพียงอย่างเดียวไม่สามารถแก้ไขปัญหาได้ ต้องอัปเกรดรันไทม์ PHP เองและรีสตาร์ทเซิร์ฟเวอร์เว็บ/PHP-FPM workers

วิธีปกป้องกระเป๋าเงินคริปโตสำหรับผู้ดำเนินการเว็บไซต์และเซิร์ฟเวอร์

• ตรวจบัญชีการติดตั้ง PHP ทุกรายการ รวมถึงที่ซ่อนอยู่ในแผงควบคุม อุปกรณ์ และซอฟต์แวร์ของผู้ขาย
• อัปเกรดเป็นเวอร์ชันที่แก้ไขทันทีและรีสตาร์ทบริการ
• เปิดใช้งานการป้องกัน WAF ของ Cloudflare (หรือเทียบเท่า) ไว้ พวกเขาได้รับการติดตั้งตั้งแต่แรกและยังคงได้รับการอัปเดต
• ติดตามคำขอหลายส่วนที่แปลกประหลาด ข้อผิดพลาด 500 ที่เกิดซ้ำ การเริ่มต้นกระบวนการ PHP worker ที่ไม่คาดคิด และคุกกี้ PHPSESSID ที่ผิดปกติ
• สำหรับระบบที่ไม่สามารถแก้ไขได้อย่างรวดเร็ว ให้พิจารณาแยกพวกเขาออกจากอินเทอร์เน็ตสาธารณะหรือตั้งค่า memory_limit = -1 (ด้วยขีดจำกัด cgroup ระดับ OS ที่เหมาะสม) เป็นมาตรการชั่วคราวเท่านั้น

อ่านเพิ่มเติม: CZ Crypto Playbook: รัฐบาลสำรวจสต็อกที่มีโทเค็น

สำหรับผู้ใช้คริปโตทั่วไป: วิธีปกป้องกระเป๋าเงินคริปโต

• ถือว่าทุกเว็บไซต์เป็นศัตรูที่อาจเกิดขึ้นในอีกหลายวันข้างหน้า
• แนะนำให้ใช้กระเป๋าเงินฮาร์ดแวร์ (Ledger, Trezor, ฯลฯ) สำหรับการถือครองที่สำคัญและไม่เคยป้อนคำพูดเมล็ดพันธุ์ในเว็บไซต์ใด ๆ
• เปิดใช้งาน 2FA (โดยเฉพาะอย่างยิ่งแบบแอปหรือฮาร์ดแวร์) ในทุกบริการการแลกเปลี่ยนและกระเป๋าเงิน
• ใช้การแยกเบราว์เซอร์หรือตัวโปรไฟล์เบราว์เซอร์แยกสำหรับกิจกรรมคริปโต
• หลีกเลี่ยงการเชื่อมต่อกระเป๋าเงินกับ dApps หรือเว็บไซต์ที่ไม่คุ้นเคยจนกว่าการคลื่นการแพตช์จะเสร็จสิ้นไปอย่างมาก
• เฝ้าระวังอีเมลและข้อความฟิชชิ่งที่กล่าวถึง “การอัปเดตความปลอดภัย PHP ที่เร่งด่วน” หรือการแจ้งเตือนการแลกเปลี่ยนปลอม
• แนะนำแพลตฟอร์มที่ยืนยันสาธารณะว่าสแตกของพวกเขาไม่ได้รับผลกระทบ

นิสัยเหล่านี้เป็นแกนหลักของความปลอดภัยของเว็บไซต์คริปโตที่ดีและยังคงมีคุณค่าไปอีกนานหลังจากที่ช่องโหว่นี้ถูกแก้ไขแล้ว

บทเรียนที่กว้างขึ้นจากความเสี่ยงด้านความปลอดภัย PHP ในปี 2026

PHP2Shell แสดงให้เห็นถึงความจริงสมัยใหม่สองประการ ประการแรก ปัญหาด้านความปลอดภัยของหน่วยความจำสามารถหลับใหลอยู่ได้นานกว่า 10 ปีจนกว่าจะมีเงื่อนไขและเครื่องมือที่เหมาะสมเกิดขึ้น

ประการที่สอง, AI ด้านขอบเขตได้ลดต้นทุนในการเปลี่ยนสายโค้ดที่ซับซ้อนและมีข้อบกพร่องหลายจุดให้กลายเป็นการโจมตีที่เชื่อถือได้อย่างมีนัยสำคัญ. สิ่งที่เคยต้องการทีมผู้เชี่ยวชาญระดับสูงสามารถทำซ้ำได้อย่างรวดเร็วมากขึ้นด้วยความช่วยเหลือจาก AI.

ในเวลาเดียวกัน, การตอบสนองที่ประสานกัน, นักวิจัย, ทีม PHP, Cloudflare, ผู้ให้บริการคลาวด์หลัก, และอื่น ๆ, แสดงให้เห็นว่าอุตสาหกรรมยังคงสามารถเคลื่อนไหวได้อย่างรวดเร็วเมื่อผลที่ตามมาสูง.

อ่านเพิ่มเติม: ทำไม CZ ถึงชื่นชม Solana? อธิบายสำนักงานจีน

ข้อสรุป

เหตุการณ์ความปลอดภัยเช่นแพตช์ความปลอดภัย PHP ในเดือนตุลาคม 2026 เตือนเราว่าระบบนิเวศของคริปโตนั้นมีความแข็งแกร่งเพียงใด ขึ้นอยู่กับลิงก์ที่อ่อนแอที่สุด ไม่ว่าจะเป็นบล็อก WordPress ที่ถูกลืมหรือพฤติกรรมการใช้งานของผู้ใช้.

ที่ Bitrue เราจริงจังกับโครงสร้างพื้นฐานและความปลอดภัยของผู้ใช้. แพลตฟอร์มของเราได้รับการออกแบบด้วยสแต็กที่ทันสมัยซึ่งไม่ใช่ PHP เมื่อเหมาะสม, การตรวจสอบอย่างต่อเนื่อง, และให้ความสำคัญกับการศึกษาเกี่ยวกับผู้ใช้.

สำหรับข้อมูลเชิงลึกด้านความปลอดภัยล่าสุด, การวิเคราะห์ตลาด, และคู่มือที่ใช้งานได้เกี่ยวกับวิธีการปกป้องสินทรัพย์ในกระเป๋าเงินคริปโต, เยี่ยมชมบล็อก Bitrue อย่างสม่ำเสมอ.

และเมื่อคุณพร้อมที่จะซื้อขายด้วยความมั่นใจ, สำรวจสินทรัพย์ที่สนับสนุนที่หลากหลาย อัตราค่าธรรมเนียมที่แข่งขันได้, และคุณสมบัติด้านความปลอดภัยที่แข็งแกร่งของ Bitrue.

อยู่ให้ปลอดภัย, แพตช์แต่เนิ่นๆ, และอย่าลืมแชร์วลีเก็บรักษาของคุณ. ช่องโหว่ที่สำคัญถัดไปเป็นเพียงเรื่องของเวลา การเตรียมการคือการป้องกันที่ดีที่สุด.

คำถามที่พบบ่อย

1. PHP2Shell คืออะไรในความหมายที่ง่าย?

PHP2Shell คือชื่อที่ใช้กับข้อบกพร่องที่สำคัญสองประการ (CVE-2026-109618 และ CVE-2026-109619) ในภาษาโปรแกรม PHP เอง. มันอนุญาตให้ผู้โจมตีสามารถรันโค้ดบนเซิร์ฟเวอร์เว็บที่มีช่องโหว่โดยไม่ต้องเข้าสู่ระบบและอ่านหน่วยความจำที่ละเอียดอ่อน.

2. ช่องโหว่ PHP2Shell มีผลต่อการแลกเปลี่ยนคริปโตหรือไม่?

ขึ้นอยู่กับว่าแลกเปลี่ยนหรือเว็บไซต์ที่เกี่ยวข้องใช้ PHP ที่มีช่องโหว่หรือไม่. หลายโครงการหลักได้ยืนยันแล้วว่าพวกเขาไม่ใช้ PHP. ควรตรวจสอบประกาศอย่างเป็นทางการและปฏิบัติตามหลักความปลอดภัยส่วนบุคคลที่ดีเสมอ.

3. WordPress จะปลอดภัยโดยอัตโนมัติหลังจากการอัปเดตปลั๊กอินและธีมหรือไม่?

ไม่. นี่เป็นช่องโหว่ PHP ของ WordPress ในระดับการทำงาน. คุณต้องอัปเกรดเวอร์ชัน PHP ที่ใช้พื้นฐานและรีสตาร์ทกระบวนการเซิร์ฟเวอร์เว็บ.

4. ฉันควรทำอย่างไรหากไม่สามารถแพตช์ PHP ได้ในทันที?

วางไซต์ไว้เบื้องหลัง WAF ที่ทันสมัย (แผนฟรีของ Cloudflare มีการตั้งค่าที่เกี่ยวข้องอยู่แล้ว), จำกัด การเข้าถึงสาธารณะหากเป็นไปได้, ตรวจสอบบันทึกอย่างใกล้ชิด, และให้ความสำคัญกับการอัปเกรด. การเปลี่ยนแปลงการกำหนดค่าชั่วคราวเช่นการลบข้อจำกัดของหน่วยความจำเป็นการบรรเทาที่ไม่ครบถ้วนเท่านั้น.

5. คำเตือนจากเว็บไซต์ CZ มีผลต่อการท่องเว็บประจำวันของฉันอย่างไร?

ในอีกไม่กี่วันข้างหน้า, ระมัดระวังมากขึ้นเกี่ยวกับการเข้าชมเว็บไซต์ที่ไม่คุ้นเคยหรือไม่จำเป็น โดยเฉพาะอย่างยิ่งเว็บไซต์ที่อาจยังใช้ PHP ที่ล้าสมัย. Stick กับเว็บไซต์ที่รู้จักกันดีและมีชื่อเสียงสูง และลดการใช้งานกระเป๋าเงินและเซสชันการแลกเปลี่ยน.

ข้อจำกัดความรับผิดชอบ: ความคิดเห็นที่แสดงเป็นของผู้เขียนแต่ผู้เดียวและไม่สะท้อนความคิดเห็นของแพลตฟอร์มนี้. แพลตฟอร์มนี้และบริษัทในเครือไม่รับผิดชอบต่อความถูกต้องหรือความเหมาะสมของข้อมูลที่จัดเตรียมไว้. ข้อมูลเหล่านี้มีไว้เพื่อวัตถุประสงค์ด้านข้อมูลเท่านั้นและไม่ได้มีไว้เป็นคำแนะนำทางการเงินหรือการลงทุน.