รมว.อว. สั่งหน่วยงานรัฐเร่งอัปเดต PHP หลัง OpenAI พบช่องโหว่ร้ายแรงระดับ 9.2

วันที่ 22 ตุลาคม ศาสตราจารย์ ดร.ยศชนัน วงศ์สวัสดิ์ รองนายกรัฐมนตรี และรัฐมนตรีว่าการกระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม (อว.) เปิดเผยผ่านสื่อสังคมออนไลน์ว่า ได้รับแจ้งข้อมูลเกี่ยวกับการตรวจพบช่องโหว่ด้านความปลอดภัยในระบบพีเอชพี (PHP) ซึ่งเป็นภาษาโปรแกรมที่ใช้พัฒนาเว็บไซต์จำนวนมากทั่วโลก 

โดยศาสตราจารย์ ดร.ยศชนัน วงศ์สวัสดิ์ ระบุว่าทีมวิจัยของโอเพนเอไอ (OpenAI) เป็นผู้ตรวจพบช่องโหว่ดังกล่าว และอาจมีความเสี่ยงที่ผู้ไม่หวังดีจะใช้โจมตีเพื่อเข้าควบคุมระบบโดยไม่ได้รับอนุญาต โดยมีรายละเอียดดังนี้

"ผมได้รับแจ้งมาว่า ทีมวิจัยของ OpenAI เพิ่งตรวจพบช่องโหว่ความปลอดภัยครั้งใหญ่ในระบบ PHP ซึ่งเป็นภาษาหลักที่ใช้สร้างเว็บไซต์กว่า 70% ทั่วโลก โดยมีความรุนแรงถึงขั้นที่อาจถูกใช้เจาะเข้ามา Hijack ได้ครับ

ความโชคดีของเหตุการณ์นี้คือ OpenAI ตรวจพบจุดอ่อนนี้ได้ด้วยตัวเอง ก่อนจะเกิดเหตุ ทำให้ทีมผู้พัฒนามีเวลาตลอด 2 เดือนที่ผ่านมา ในการทำตัวอัปเดตแก้ไขและเตรียมระบบป้องกันไว้พร้อมแล้ว

เรื่องนี้ยังไม่ต้องตื่นตระหนกครับ แต่เป็นจังหวะที่สำคัญมาก ที่หน่วยงานในไทย โดยเฉพาะมหาวิทยาลัยและโรงพยาบาลโรงเรียนแพทย์ ที่ดูแลข้อมูลสำคัญจำนวนมาก ต้องรีบจัดการดูแลระบบใน 3 ขั้นตอนครับ

เตรียมรับมือ - ทีม IT ไล่เช็กเว็บไซต์และระบบงานทั้งหมดที่ใช้ PHP โดยเน้นดูแลระบบข้อมูลผู้ป่วยและฐานข้อมูลนักศึกษาเป็นอันดับแรก

ระงับความเสี่ยง - ระหว่างที่รออัปเกรดระบบหลัก ให้เปิดใช้เกราะป้องกันเสริมบนระบบเครือข่ายหรือ Cloud ทันที พร้อมเฝ้าระวังการเข้าใช้งานที่ผิดปกติเพื่อบล็อกไว้ล่วงหน้า

แก้ไข - เร่งทดสอบและอัปเกรด PHP ให้เป็นเวอร์ชันล่าสุดที่ปลอดภัยโดยเร็วที่สุด เพราะเป็นวิธีเดียวที่จะปิดช่องโหว่นี้ได้อย่างถาวร

ขณะนี้ ผมได้สั่งการให้หน่วยงานภายใต้กระทรวง อว. และประสานไปยังกระทรวงอื่นๆ ที่เกี่ยวข้อง เพื่อช่วยกันเร่งตรวจสอบและอัปเกรดระบบในความดูแลทั้งหมดอย่างใกล้ชิด หลังการแจ้งเตือนของ OpenAI

และผมขอแจ้งให้ประชาชนและผู้ใช้บริการทุกท่านได้รับทราบถึงปัญหานี้ และมั่นใจได้ว่าเราและหน่วยงานภายใต้กำกับของผม กำลังเดินหน้าแก้ไขอยู่อย่างเต็มที่ เพื่อปกป้องข้อมูลสำคัญของประชาชนและปิดความเสี่ยงทั้งหมดก่อนที่ผู้ไม่หวังดีจะเริ่มลงมือครับ" 

 OpenAI ยืนยันพบช่องโหว่ร้ายแรง 2 จุดใน  PHP  

โดยจากการตรวจสอบข้อมูลเพิ่มเติม พบว่าโอเพนเอไอออกแถลงการณ์อย่างเป็นทางการเมื่อวันที่ 21 ตุลาคม ยืนยันการค้นพบช่องโหว่สำคัญใน PHP จำนวน 2 รายการ ภายใต้โครงการแพตช์ เดอะ แพลเน็ต (Patch the Planet) โดยร่วมมือกับผู้พัฒนา PHP และบริษัทด้านความปลอดภัยไซเบอร์ในการเตรียมมาตรการแก้ไขตลอดช่วง 2 เดือนที่ผ่านมา 

ช่องโหว่ดังกล่าวมีรหัส CVE-2026-109618 และ CVE-2026-109619 ได้รับคะแนนความรุนแรง 9.2 จาก 10 คะแนน และอาจเปิดทางให้ผู้โจมตีสั่งรันโปรแกรมอันตรายบนเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องเข้าสู่ระบบ ซึ่งอาจกระทบข้อมูลสำคัญของหน่วยงานต่าง ๆ โดยทีมพัฒนา PHP ได้เผยแพร่อัปเดตความปลอดภัยแล้วเมื่อวันที่ 21 ตุลาคมที่ผ่านมา 

พร้อมให้คำแนะนำผู้ดูแลระบบควรตรวจสอบเวอร์ชัน PHP และอัปเดตเป็นรุ่นที่แก้ไขแล้ว ได้แก่ 8.2.35, 8.3.36, 8.4.27 หรือ 8.5.12 ตามสายเวอร์ชันที่ใช้งาน ส่วน PHP 8.1 และรุ่นเก่ากว่านั้นหมดระยะสนับสนุนด้านความปลอดภัยแล้ว จึงควรวางแผนอัปเกรดไปยังรุ่นที่ยังได้รับการสนับสนุน