เมื่อวันที่ 25 ตุลาคม ผศ.ดร.นพดล กรรณิกา อดีตที่ปรึกษาผู้ตรวจการแผ่นดิน ที่ปรึกษาคณะดิจิทัล และอาจารย์ประจำหลักสูตรปริญญาโท คณะรัฐประศาสนศาสตร์ วิทยาลัยเทคโนโลยีสยาม เปิดเผยถึงความเสี่ยงด้านความปลอดภัยทางไซเบอร์จากช่องโหว่ PHP2Shell ซึ่งอาจเปิดทางให้ผู้ไม่หวังดีสั่งงานเครื่องแม่ข่ายได้โดยไม่ต้องเข้าสู่ระบบภายใต้เงื่อนไขที่เกี่ยวข้อง ส่งผลให้เว็บไซต์และระบบหลังบ้านของแอปพลิเคชันที่ใช้ PHP มีความเสี่ยงต่อการถูกโจมตี
PHP เป็นภาษาคอมพิวเตอร์ที่ใช้พัฒนาระบบเบื้องหลังเว็บไซต์และบริการออนไลน์ หากระบบหลังบ้านมีช่องโหว่ แม้แอปพลิเคชันบนมือถือจะพัฒนาด้วยภาษาอื่น ก็อาจได้รับผลกระทบได้เช่นกัน ดังนั้น การอัปเดตแอปพลิเคชันเพียงอย่างเดียวจึงไม่เพียงพอ ผู้ให้บริการต้องตรวจสอบและแก้ไขระบบ PHP ที่เกี่ยวข้องด้วย
ทั้งนี้ AWS ตรวจพบความพยายามโจมตีตั้งแต่วันที่ 17 ตุลาคม 2569 ก่อนที่ PHP จะออกชุดแก้ไขเมื่อวันที่ 21 ตุลาคม อย่างไรก็ตาม ความพยายามโจมตีไม่ได้หมายความว่าการเจาะระบบสำเร็จแล้ว ขณะที่ addy.io เคยปิดเว็บแอปชั่วคราวประมาณ 3 ชั่วโมง 26 นาที เพื่อป้องกันความเสี่ยง ก่อนกลับมาให้บริการตามปกติ จึงต้องแยกกรณีการปิดระบบเพื่อป้องกันเหตุออกจากการถูกโจมตีจนระบบล่ม
สำหรับประเทศไทย รัฐบาลแจ้งเมื่อวันที่ 22 ตุลาคมว่า ThaiCERT ได้แจ้งเตือนหน่วยงานที่เกี่ยวข้อง พร้อมสำรวจระบบที่มีความเสี่ยง เฝ้าระวัง และติดตามการแก้ไขช่องโหว่ โดยข้อมูลสาธารณะที่ตรวจสอบถึงวันที่ 25 ตุลาคม ยังไม่พบตัวเลขผู้เสียหายหรือมูลค่าความเสียหายในประเทศไทยที่ยืนยันว่าเกิดจาก PHP2Shell โดยเฉพาะ จึงยังไม่สามารถสรุปได้ว่าไม่มีเหตุเกิดขึ้น
ผศ.ดร.นพดล ระบุว่า การที่เว็บไซต์ล่มหรือแอปพลิเคชันเข้าใช้งานไม่ได้ ไม่ได้หมายความว่าถูกโจมตีด้วย PHP2Shell เสมอไป เพราะอาจเกิดจากหลายสาเหตุ รวมถึงการโจมตีแบบ DDoS ซึ่งเป็นการส่งคำขอจำนวนมากจนระบบไม่สามารถให้บริการได้ตามปกติ จึงต้องตรวจสอบหลักฐานก่อนสรุปสาเหตุ
ความเสี่ยงดังกล่าวไม่ได้จำกัดอยู่เฉพาะเว็บไซต์ทั่วไป แต่ยังอาจเกี่ยวข้องกับระบบโรงพยาบาล หน่วยงานรัฐ ตำรวจ สถาบันการเงิน ร้านค้า ระบบพลังงานและขนส่ง ตลอดจนโรงเรียน ธุรกิจขนาดกลางและขนาดย่อม สื่อ และมูลนิธิ ซึ่งจำเป็นต้องรักษาความปลอดภัยของข้อมูลและเตรียมช่องทางให้บริการสำรอง
แนวทางรับมือที่สำคัญประกอบด้วย 5 ข้อ ได้แก่
1.สำรวจระบบทั้งหมด จัดทำบัญชีเว็บไซต์ ระบบหลังบ้านของแอปพลิเคชัน และระบบที่จ้างบุคคลภายนอกดูแล พร้อมระบุผู้รับผิดชอบและจัดลำดับระบบที่มีความเสี่ยงสูง
2.เร่งแก้ไขช่องโหว่ ติดตั้งแพตช์หรือชุดแก้ไขซอฟต์แวร์ และทดสอบระบบจริง โดยการอัปเดต WordPress หรือแอปพลิเคชันเพียงอย่างเดียว ไม่สามารถทดแทนการแก้ไข PHP ได้
3.ตรวจสอบการบุกรุกย้อนหลัง ตรวจสอบบันทึกการทำงาน ไฟล์ บัญชีผู้ใช้ และการเชื่อมต่อที่ผิดปกติ พร้อมเก็บหลักฐาน เนื่องจากการติดตั้งแพตช์ไม่ได้กำจัดมัลแวร์หรือช่องทางลับที่ผู้โจมตีอาจทิ้งไว้ก่อนหน้า
4.เตรียมระบบสำรองและกู้คืน สำรองข้อมูลแยกจากระบบหลัก ทดสอบการกู้คืน จำกัดสิทธิ์การเข้าถึง และจัดเตรียมช่องทางบริการสำรอง เพื่อให้ประชาชนยังสามารถใช้บริการที่จำเป็นได้
5.รายงานผลอย่างตรวจสอบได้ ระบุว่าระบบใดแก้ไขแล้ว ระบบใดยังค้าง ใครเป็นผู้รับผิดชอบ และกำหนดแล้วเสร็จเมื่อใด หากพบเหตุหรือสงสัยว่าถูกโจมตี ให้รีบประสานทีมไอทีและหน่วยงานรับมือภัยไซเบอร์
สำหรับหน่วยงานที่พบเหตุหรือสงสัยว่าถูกโจมตี สามารถประสาน ThaiCERT โทร. 02-114-3531 ตลอด 24 ชั่วโมง หรืออีเมล [email protected] โดยเตรียมข้อมูลชื่อหน่วยงาน ช่องทางติดต่อกลับ เว็บไซต์หรือแอปพลิเคชันที่มีปัญหา วันเวลา อาการ และหลักฐานที่เกี่ยวข้อง ไม่จำเป็นต้องรอให้ทราบสาเหตุทั้งหมดก่อนแจ้งเหตุ
ส่วน PHP รุ่นที่ระบุว่าแก้ไขช่องโหว่หลักทั้งสองรายการ ได้แก่ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 หน่วยงานควรติดตามประกาศทางการของ PHP อย่างต่อเนื่อง เลือกรุ่นที่ยังได้รับการสนับสนุนและมีแพตช์ล่าสุด รวมถึงตรวจสอบความเข้ากันได้กับระบบเดิม ส่วนรุ่นที่หมดระยะสนับสนุนและไม่มีแพตช์ควรเร่งวางแผนย้ายระบบ
ผศ.ดร.นพดล ยังเน้นย้ำว่า การใช้บริการคลาวด์ไม่ได้หมายความว่าระบบจะปลอดภัยจากช่องโหว่โดยอัตโนมัติ ผู้ให้บริการคลาวด์และเจ้าของระบบต้องกำหนดความรับผิดชอบในการอัปเดตให้ชัดเจน พร้อมมีหลักฐานยืนยันว่าระบบได้รับการแก้ไขแล้วจริง ขณะเดียวกัน การใช้ AI ช่วยตรวจสอบและวิเคราะห์ช่องโหว่ต้องดำเนินควบคู่กับการพัฒนาบุคลากร เพราะผู้โจมตีก็สามารถใช้ AI เพิ่มความสามารถในการโจมตีได้เช่นกัน
นอกจากนี้ หากระบบของรัฐขัดข้องจนประชาชนยื่นคำขอไม่ทัน เสียสิทธิรับสวัสดิการ หรือถูกเรียกเก็บค่าปรับ หน่วยงานควรมีช่องทางสำรองและพิจารณาแก้ไขผลกระทบอย่างเป็นธรรมภายใต้กฎหมาย หากการปฏิบัติหรือไม่ปฏิบัติหน้าที่ของรัฐก่อให้เกิดความเดือดร้อนหรือความไม่เป็นธรรม ประชาชนสามารถร้องเรียนต่อผู้ตรวจการแผ่นดินเพื่อพิจารณาตามหน้าที่และอำนาจได้
ท้ายที่สุด ผู้บริหารหน่วยงานทั้งภาครัฐและเอกชนควรเร่งตรวจสอบระบบของตนเอง โดยตั้งคำถามกับผู้ดูแลระบบว่า “เว็บไซต์และระบบหลังบ้านของแอปพลิเคชันใช้ PHP หรือไม่ แก้ไขช่องโหว่แล้วหรือยัง และมีหลักฐานยืนยันหรือไม่” เพราะการป้องกันภัยไซเบอร์ไม่ได้จบลงเพียงการกู้ระบบให้กลับมาใช้งานได้ แต่ต้องคุ้มครองข้อมูล ความเชื่อมั่น และสิทธิของประชาชนควบคู่กันไปด้วย.
