ช่องโหว่ PHP ระดับวิกฤต 2 รายการ CVSS 9.2 แพตช์ออก 21 ต.ค. 2026 เวลา 21:00 น. เวลาไทย
ทีม PHP แจ้งล่วงหน้าว่าจะออกแพตช์ช่องโหว่ PHP ระดับวิกฤต 2 รายการ คะแนน CVSS v4.0 9.2 วันที่ 21 ต.ค. 2026 เวลา 21:00 น. ตามเวลาไทย ผู้ดูแลระบบควรเตรียมอัปเดต
โดย กองบรรณาธิการ THAI DATA อ่าน 5 นาที
สรุปประเด็นสำคัญ
- ทีมความปลอดภัยของ PHP ประกาศบน php.net เมื่อ 20 ตุลาคม 2026 ว่าจะออก security release ในวันพุธที่ 21 ตุลาคม 2026 เวลา 14:00 UTC (21:00 น. เวลาไทย)
- แพตช์รอบนี้แก้ช่องโหว่ PHP ระดับวิกฤต 2 รายการ ทั้งคู่ได้คะแนน CVSS v4.0 9.2 ส่วนรายละเอียด เวอร์ชันที่ได้รับผลกระทบ และเวอร์ชันที่แก้แล้ว จะเปิดเผยพร้อมแพตช์
- ทีม PHP สงวนสิทธิ์ออกแพตช์เร็วกว่ากำหนด หากรายละเอียดช่องโหว่หลุดสู่สาธารณะ หรือพบหลักฐานการโจมตีจริง
- เวอร์ชันล่าสุดก่อนแพตช์คือ 8.5.11, 8.4.26, 8.3.35 และ 8.2.34 สาขา 8.2 ได้แพตช์ความปลอดภัยถึง 31 ธันวาคม 2026 ส่วน PHP 8.1 หมดอายุไปตั้งแต่ 31 ธันวาคม 2025
- ข้อมูล W3Techs ณ 21 ต.ค. 2026: PHP ใช้ใน 69.3% ของเว็บที่ทราบภาษาฝั่งเซิร์ฟเวอร์ และเว็บที่ใช้ PHP 27.0% ยังอยู่บน PHP 7
ทีมความปลอดภัยของ PHP ประกาศล่วงหน้าเมื่อ 20 ตุลาคม 2026 ว่าจะออกแพตช์ช่องโหว่ PHP ระดับวิกฤต 2 รายการ ทั้งคู่ได้คะแนน CVSS v4.0 9.2 ในวันพุธที่ 21 ตุลาคม 2026 เวลา 14:00 UTC หรือ 21:00 น. ตามเวลาไทย และขอให้ผู้ใช้ PHP ทุกรายเตรียมอัปเกรดทันทีที่แพตช์ออก
ประกาศนี้ขึ้นบนหน้าแรกของ php.net เวลา 20:32 UTC ของวันที่ 20 ตุลาคม (03:32 น. ของวันที่ 21 ตุลาคม ตามเวลาไทย) และขึ้นเป็นแถบแจ้งเตือนบนหน้าอื่นของเว็บไซต์ด้วย ทีม PHP บอกเพียงจำนวนและความรุนแรง ยังไม่บอกว่าช่องโหว่อยู่ในส่วนใดของ PHP
ประกาศช่องโหว่ PHP รอบนี้บอกอะไรแล้ว
| ประเด็น | สิ่งที่ทีม PHP ประกาศ (20 ต.ค. 2026) |
|---|---|
| เวลาออกแพตช์ | 21 ต.ค. 2026 เวลา 14:00 UTC (21:00 น. เวลาไทย) |
| จำนวนช่องโหว่ | 2 รายการ ระดับวิกฤต (critical) |
| คะแนนความรุนแรง | CVSS v4.0 9.2 ทั้งสองรายการ |
| เวอร์ชันที่ได้รับผลกระทบ | ยังไม่เปิดเผย จะประกาศพร้อมแพตช์ |
| เวอร์ชันที่แก้แล้ว | ยังไม่เปิดเผย จะประกาศพร้อมแพตช์ |
| เงื่อนไขออกก่อนกำหนด | รายละเอียดช่องโหว่หลุดสู่สาธารณะ หรือพบหลักฐานการโจมตีจริง |
ทีม PHP เขียนว่า "All PHP users are encouraged to prepare now so they can upgrade as soon as the release is available." หรือขอให้ผู้ใช้ทุกรายเตรียมตัวตั้งแต่ตอนนี้ เพื่ออัปเกรดได้ทันทีที่แพตช์ออก ประกาศยังย้ำว่ารายละเอียดทั้งหมด เวอร์ชันที่ได้รับผลกระทบ และเวอร์ชันที่แก้แล้ว จะเผยแพร่พร้อมกับแพตช์ ผู้ดูแลระบบจึงยังประเมินไม่ได้ว่าช่องโหว่ PHP สองรายการนี้กระทบส่วนขยาย (extension) หรือรูปแบบการติดตั้งแบบใด
PHP เพิ่งออก security release รอบก่อนเมื่อ 24 กันยายน 2026 ซึ่งได้เวอร์ชัน 8.5.11, 8.4.26, 8.3.35 และ 8.2.34 ที่เป็นเวอร์ชันล่าสุดบนหน้าแรกของ php.net ในตอนนี้
PHP เวอร์ชันไหนยังได้รับแพตช์
นโยบายของ php.net คือแต่ละสาขาได้รับการสนับสนุนเต็มรูปแบบ 2 ปีนับจากวันออกรุ่นเสถียร แล้วต่อด้วยแพตช์เฉพาะปัญหาความปลอดภัยร้ายแรงอีก 2 ปี ซึ่งออกตามความจำเป็น ครบ 4 ปีแล้วสาขานั้นจะหมดอายุ (end of life)
| สาขา | เวอร์ชันล่าสุดก่อนแพตช์ | Active Support ถึง | Security Support ถึง |
|---|---|---|---|
| PHP 8.5 | 8.5.11 | 31 ธ.ค. 2027 | 31 ธ.ค. 2029 |
| PHP 8.4 | 8.4.26 | 31 ธ.ค. 2026 | 31 ธ.ค. 2028 |
| PHP 8.3 | 8.3.35 | สิ้นสุด 31 ธ.ค. 2025 | 31 ธ.ค. 2027 |
| PHP 8.2 | 8.2.34 | สิ้นสุด 31 ธ.ค. 2024 | 31 ธ.ค. 2026 |
ส่วนสาขาที่หมดอายุแล้ว php.net ระบุว่า PHP 8.1 หมดอายุเมื่อ 31 ธันวาคม 2025 (เวอร์ชันสุดท้าย 8.1.34) PHP 8.0 หมดอายุเมื่อ 26 พฤศจิกายน 2023 และ PHP 7.4 หมดอายุเมื่อ 28 พฤศจิกายน 2022 ประกาศรอบนี้ไม่ได้บอกว่าสาขาที่หมดอายุได้รับผลกระทบหรือไม่ แต่หน้า Unsupported Branches ของ php.net เตือนว่าผู้ที่ยังใช้สาขาเหล่านี้ควรอัปเกรดเป็นเวอร์ชันปัจจุบัน เพราะอาจเปิดช่องให้ช่องโหว่ที่แก้แล้วในเวอร์ชันใหม่
PHP 8.6 ยังเป็นรุ่นทดสอบ รุ่น 8.6.0 RC3 ออกเมื่อ 8 ตุลาคม 2026 และ RC4 มีกำหนดออก 22 ตุลาคม 2026 ทีม PHP ย้ำว่าห้ามใช้รุ่นทดสอบนี้ในระบบใช้งานจริง
ทำไมเรื่องนี้สำคัญ
PHP ยังเป็นภาษาฝั่งเซิร์ฟเวอร์ที่เว็บไซต์ใช้มากที่สุด ข้อมูลของ W3Techs ณ 21 ตุลาคม 2026 ระบุว่า PHP ใช้ใน 69.3% ของเว็บไซต์ที่ W3Techs ทราบภาษาฝั่งเซิร์ฟเวอร์ และในกลุ่มเว็บที่ใช้ PHP นั้น สัดส่วนตามเวอร์ชันหลักเป็นดังนี้
- PHP 8: 65.2%
- PHP 7: 27.0%
- PHP 5: 7.7%
- PHP 4: 0.1%
ทุกสาขาของ PHP 7, 5 และ 4 หมดอายุไปแล้วตามหน้า Unsupported Branches ของ php.net เว็บกลุ่มนี้จึงไม่ได้รับแพตช์ตามรอบปกติ ไม่ว่าช่องโหว่ PHP รอบนี้จะกระทบสาขาเก่าหรือไม่ ส่วนสาขาที่ยังได้รับการสนับสนุน ประกาศล่วงหน้าไม่ถึงหนึ่งวันนี้คือเวลาเตรียมตัว เพราะเมื่อแพตช์ออก รายละเอียดของช่องโหว่ PHP ทั้งสองรายการจะเปิดเผยพร้อมกัน
สิ่งที่องค์กรควรทำก่อนแพตช์ช่องโหว่ PHP ออก
- ทำรายการทุกจุดที่รัน PHP ตั้งแต่วันนี้ ก่อนรายละเอียดช่องโหว่ PHP จะเปิดเผย ทั้งเว็บเซิร์ฟเวอร์ PHP-FPM, คอนเทนเนอร์และ Docker image, เครื่องที่รันงานตามเวลา (cron) และ image ที่ใช้ใน CI/CD จดเวอร์ชันจาก
php -vไว้เทียบกับเวอร์ชันที่แก้แล้วเมื่อทีม PHP ประกาศ - จองหน้าต่างบำรุงรักษาคืน 21 ต.ค. หรือเช้า 22 ต.ค. ตามเวลาไทย เตรียมสภาพแวดล้อมทดสอบให้พร้อม เพื่อรันชุดทดสอบและอัปเดตระบบที่เปิดสู่อินเทอร์เน็ตก่อน
- เช็กช่องทางที่องค์กรได้ PHP มา เซิร์ฟเวอร์ที่ติดตั้ง PHP จากแพ็กเกจของดิสทริบิวชัน Linux ต้องรอดูประกาศความปลอดภัยของดิสทริบิวชันนั้น ส่วนเว็บบน Shared Hosting ให้สอบถามผู้ให้บริการว่าจะอัปเดตเมื่อใด
- เร่งย้ายออกจากสาขาที่หมดอายุ ระบบบน PHP 8.1 หรือ PHP 7 ควรมีแผนอัปเกรด และระบบบน PHP 8.2 ควรวางแผนย้ายก่อน 31 ธันวาคม 2026 ที่แพตช์ความปลอดภัยของสาขานี้จะสิ้นสุด
- ติดตามประกาศของ php.net หลัง 21:00 น. อ่านรายละเอียดช่องโหว่และเวอร์ชันที่แก้แล้วก่อนตัดสินใจลำดับการอัปเดต ถ้าทีม PHP ออกแพตช์ก่อนกำหนด แปลว่ารายละเอียดหลุดหรือมีการโจมตีแล้ว ให้ถือเป็นงานเร่งด่วน
ดูตัวอย่างการวางแผนรับมือรอบซัพพอร์ตของแพลตฟอร์มอื่นได้ใน .NET 11 RC1 กับวันหมดซัพพอร์ตของ .NET 8 และ .NET 9 และติดตามข่าวซอฟต์แวร์และ Open Source เพิ่มเติมได้ที่หมวดซอฟต์แวร์
คำถามที่พบบ่อย
ช่องโหว่ PHP รอบนี้ร้ายแรงแค่ไหน?
ทีมความปลอดภัยของ PHP ระบุว่าเป็นช่องโหว่ PHP ระดับวิกฤต (critical) 2 รายการ ทั้งคู่ได้คะแนน CVSS v4.0 9.2 จากเต็ม 10 และขอให้ผู้ใช้ PHP ทุกรายเตรียมอัปเกรดทันทีที่แพตช์ออก
แพตช์ช่องโหว่ PHP ออกเมื่อไร?
ทีม PHP กำหนดออกแพตช์ช่องโหว่ PHP ในวันพุธที่ 21 ตุลาคม 2026 เวลา 14:00 UTC ตรงกับ 21:00 น. ตามเวลาไทย แต่อาจออกเร็วกว่านั้นถ้ารายละเอียดช่องโหว่หลุดสู่สาธารณะหรือพบการโจมตีจริง
PHP เวอร์ชันไหนได้รับผลกระทบ?
ณ ประกาศวันที่ 20 ตุลาคม 2026 ทีม PHP ยังไม่เปิดเผยเวอร์ชันที่ได้รับผลกระทบจากช่องโหว่ PHP ทั้งสองรายการ และจะประกาศพร้อมแพตช์ สาขาที่ยังได้รับการสนับสนุนตอนนี้คือ 8.2, 8.3, 8.4 และ 8.5 ส่วน 8.1 และเก่ากว่าหมดอายุแล้ว
ใช้ PHP 8.1 หรือ PHP 7 อยู่ ต้องรับมือช่องโหว่ PHP อย่างไร?
php.net ระบุว่า PHP 8.1 หมดอายุเมื่อ 31 ธันวาคม 2025 และ PHP 7.4 หมดอายุเมื่อ 28 พฤศจิกายน 2022 สาขาที่หมดอายุไม่ได้รับการสนับสนุนแล้ว ไม่ว่าช่องโหว่ PHP รอบนี้จะกระทบหรือไม่ และ php.net แนะนำอย่างยิ่งให้อัปเกรดเป็นเวอร์ชันที่ยังได้รับการสนับสนุน
แหล่งอ้างอิง
- Upcoming Critical PHP Security Release — The PHP Group
- PHP: Supported Versions — The PHP Group
- PHP: Unsupported Branches — The PHP Group
- Usage Statistics and Market Share of PHP for Websites — W3Techs
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ