PHP คืออะไร? เสี่ยงแฮ็คเกอร์เจาะช่องโหว่ร้ายแรง ทำเว็บไซต์รัฐบาลยุโรปล่ม

เว็บไซต์รัฐบาลหลายประเทศในยุโรปหยุดให้บริการเมื่อวันพุธที่ผ่านมา หลังผู้ดูแลระบบเร่งแก้ไขช่องโหว่ความปลอดภัยร้ายแรง 2 รายการใน PHP ซึ่งเป็นภาษาคอมพิวเตอร์ที่ใช้พัฒนาเว็บไซต์อย่างแพร่หลาย ขณะที่หน่วยงานความมั่นคงไซเบอร์ของสหภาพยุโรปเตือนให้องค์กรที่ยังไม่สามารถติดตั้งแพตช์แก้ไขช่องโหว่ ปิดเว็บไซต์ที่ได้รับผลกระทบชั่วคราว เพื่อป้องกันการโจมตี

 

ทีมพัฒนา PHP ระบุเมื่อวันพุธว่าจะเผยแพร่แพตช์สำหรับแก้ไขช่องโหว่ทั้งสองรายการ โดยความเสี่ยงดังกล่าวไม่ได้จำกัดอยู่เฉพาะเว็บไซต์รัฐบาล แต่ยังครอบคลุมเว็บไซต์ธุรกิจ ร้านค้าออนไลน์ และเว็บไซต์ข่าวที่ใช้เทคโนโลยีนี้ด้วย

 

PHP คืออะไร และทำไมเว็บไซต์จำนวนมากจึงได้รับผลกระทบ

 

PHP เป็นภาษาโปรแกรมที่ใช้พัฒนาเว็บไซต์ โดยทำงานอยู่เบื้องหลังบนเซิร์ฟเวอร์ ผู้ใช้งานทั่วไปจึงไม่จำเป็นต้องรู้ว่าเว็บไซต์ที่กำลังเปิดอยู่ใช้ PHP หรือไม่

 

เมื่อผู้ใช้งานเปิดหน้าเว็บไซต์ เซิร์ฟเวอร์ที่ทำงานด้วย PHP จะประมวลผลข้อมูลและประกอบเนื้อหาของหน้าเว็บ ก่อนส่งหน้าเว็บที่เสร็จสมบูรณ์ไปยังเบราว์เซอร์ของผู้ใช้

 

PHP เป็นซอฟต์แวร์ฟรีและเปิดเผยซอร์สโค้ด โดยมีนักพัฒนาอาสาสมัครร่วมดูแล ทำให้ได้รับความนิยมอย่างกว้างขวางในหมู่ผู้พัฒนาเว็บไซต์

 

ข้อมูลจาก W3Techs ซึ่งติดตามเทคโนโลยีเว็บไซต์ ระบุว่า PHP ถูกใช้ในเว็บไซต์เกือบ 70% ของเว็บไซต์ทั้งหมดที่สามารถระบุภาษาที่ใช้พัฒนาได้

 

นอกจากนี้ PHP ยังเป็นเทคโนโลยีหลักที่อยู่เบื้องหลัง WordPress ซึ่งเป็นระบบจัดการเนื้อหาเว็บไซต์ที่รองรับเว็บไซต์ประมาณ 40% ของเว็บไซต์ทั่วโลก ครอบคลุมตั้งแต่บล็อก เว็บไซต์ธุรกิจขนาดเล็ก เว็บหน่วยงานรัฐบาล ร้านค้าออนไลน์ ไปจนถึงเว็บไซต์สำนักข่าว

 

ช่องโหว่ร้ายแรงแค่ไหน แฮกเกอร์ทำอะไรได้บ้าง

 

ช่องโหว่ทั้งสองรายการได้รับคะแนนความรุนแรง 9.2 จาก 10 ตามมาตรฐาน CVSS เวอร์ชัน 4.0 ซึ่งเป็นระบบประเมินความรุนแรงของช่องโหว่ด้านความปลอดภัยทางไซเบอร์

 

ทีมรับมือเหตุการณ์ความมั่นคงปลอดภัยไซเบอร์ของสหภาพยุโรป หรือ CERT-EU ระบุว่า คะแนนดังกล่าวสะท้อนความเสี่ยงจากการที่ผู้โจมตีสามารถสั่งให้เซิร์ฟเวอร์ที่มีช่องโหว่ทำงานตามคำสั่งที่ตนกำหนดได้จากระยะไกล โดยไม่จำเป็นต้องมีบัญชีผู้ใช้งานหรือรหัสผ่าน

 

กล่าวคือ หากแฮกเกอร์สามารถใช้ประโยชน์จากช่องโหว่ได้สำเร็จ ก็อาจเข้าควบคุมการทำงานของเซิร์ฟเวอร์ที่ให้บริการเว็บไซต์นั้นได้

 

GoDaddy ผู้ให้บริการเว็บโฮสติ้ง ระบุว่า ผลกระทบที่อาจเกิดขึ้นมีตั้งแต่การขโมยข้อมูล การเปลี่ยนแปลงหรือทำลายเนื้อหาบนเว็บไซต์ ไปจนถึงการเข้าควบคุมระบบทั้งหมด

 

ขณะเดียวกัน ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Cloudflare บริษัทให้บริการโครงสร้างพื้นฐานอินเทอร์เน็ต เปิดเผยว่า เริ่มพบการโจมตีที่ใช้ประโยชน์จากช่องโหว่ดังกล่าวแล้วในระยะแรก

 

ความเสี่ยงสำคัญคือ PHP ถูกใช้งานบนเซิร์ฟเวอร์จำนวนมาก ช่องโหว่เพียงรายการเดียวจึงอาจเปิดช่องให้โจมตีเว็บไซต์หลายล้านแห่งที่ใช้ซอฟต์แวร์รุ่นที่ได้รับผลกระทบได้พร้อมกัน

 

เว็บไซต์ขนาดเล็กเสี่ยงเป็นพิเศษ เหตุเจ้าของอาจไม่รู้ว่าใครดูแลระบบ

 

เว็บไซต์ขนาดเล็กจำนวนมากดำเนินงานโดยเจ้าของธุรกิจหรือผู้ดูแลเว็บไซต์ที่ไม่มีทีมรักษาความปลอดภัยไซเบอร์โดยเฉพาะ อีกทั้งเว็บไซต์จำนวนหนึ่งใช้บริการเว็บโฮสติ้งแบบแชร์เซิร์ฟเวอร์ ซึ่งผู้ให้บริการเป็นผู้ดูแลระบบหลังบ้าน

 

เจ้าของเว็บไซต์จึงอาจไม่ทราบว่าเซิร์ฟเวอร์กำลังใช้ PHP รุ่นใด ใครเป็นผู้รับผิดชอบอัปเดตซอฟต์แวร์ หรือระบบได้รับการแก้ไขช่องโหว่แล้วหรือไม่

 

Wordfence ผู้พัฒนาปลั๊กอินรักษาความปลอดภัยสำหรับเว็บไซต์ WordPress เตือนว่า การอัปเดตอัตโนมัติที่เว็บไซต์ใช้อยู่ตามปกติอาจไม่สามารถติดตั้งแพตช์แก้ไขช่องโหว่ครั้งนี้ได้

 

CERT-EU จึงแนะนำให้องค์กรที่ยังไม่สามารถแก้ไขช่องโหว่ได้ ปิดเว็บไซต์ที่ได้รับผลกระทบชั่วคราว แทนการปล่อยให้ระบบเปิดรับการโจมตีจากอินเทอร์เน็ต

 

AI ช่วยค้นพบช่องโหว่ที่ซ่อนมานานหลายสิบปี

 

ช่องโหว่ดังกล่าวถูกค้นพบโดยนักวิจัยด้านความปลอดภัยไซเบอร์ที่ใช้ปัญญาประดิษฐ์ (AI) ช่วยตรวจสอบโค้ดและวิเคราะห์ความเสี่ยงของซอฟต์แวร์

 

บริษัท Calif ซึ่งทำงานร่วมกับ OpenAI รายงานช่องโหว่รายการแรกต่อทีมพัฒนา PHP เมื่อวันที่ 11 สิงหาคม หลังค้นพบโดยใช้โมเดล GPT-5.6 Sol ของ OpenAI

 

ส่วน Wiz บริษัทด้านความปลอดภัยไซเบอร์ในเครือ Alphabet ซึ่งเป็นบริษัทแม่ของ Google ค้นพบช่องโหว่ด้วยตนเอง และรายงานช่องโหว่รายการที่สองเมื่อวันที่ 24 สิงหาคม โดยใช้โมเดล AI เช่นกัน

 

Wiz ระบุว่า ช่องโหว่ที่ค้นพบครั้งนี้อยู่ในกลุ่มช่องโหว่ที่ร้ายแรงที่สุดเท่าที่เคยพบใน PHP และอาจจัดอยู่ในระดับร้ายแรงที่สุดกลุ่มหนึ่งในประวัติศาสตร์ซอฟต์แวร์

 

บริษัทระบุว่า ข้อบกพร่องพื้นฐานของระบบมีอยู่มานานหลายสิบปีแล้ว แต่การพิสูจน์ว่าข้อบกพร่องเหล่านั้นสามารถนำมาใช้โจมตีได้จริง ต้องอาศัยขั้นตอนการวิเคราะห์หลายต่อเนื่องกัน ซึ่งมีความซับซ้อนจนเกือบเกินขีดความสามารถที่นักวิจัยมนุษย์จะดำเนินการได้ในทางปฏิบัติ

 

การค้นพบครั้งนี้จึงสะท้อนว่า AI สามารถช่วยนักวิจัยตรวจสอบซอฟต์แวร์ที่ใช้งานมานาน และค้นหาจุดอ่อนที่อาจถูกมองข้ามได้ อย่างไรก็ตาม เทคโนโลยีเดียวกันก็อาจเพิ่มขีดความสามารถของผู้โจมตีในการค้นหาและใช้ประโยชน์จากช่องโหว่ได้เช่นกัน

 

รัฐบาลสหรัฐฯ จับตา ชู AI เป็นประเด็นความมั่นคง

 

รัฐบาลของประธานาธิบดีโดนัลด์ ทรัมป์ ระบุว่า กำลังติดตามสถานการณ์และประสานงานกับหน่วยงานรัฐบาลกลาง รวมถึงบริษัทชั้นนำด้าน AI เพื่อเร่งเผยแพร่แพตช์แก้ไขช่องโหว่

 

รัฐบาลสหรัฐฯ ยังเชื่อมโยงการค้นพบดังกล่าวกับแนวคิด “Super Intelligence” หรือปัญญาประดิษฐ์ระดับเหนือมนุษย์ ซึ่งเป็นคำที่ทรัมป์ต้องการใช้แทนคำว่า AI โดยมองว่าความก้าวหน้าด้านนี้ช่วยเสริมความมั่นคงแห่งชาติของสหรัฐฯ

 

เหตุการณ์ช่องโหว่ PHP ครั้งนี้ตอกย้ำว่า ซอฟต์แวร์ที่เป็นรากฐานของเว็บไซต์จำนวนมหาศาลอาจกลายเป็นจุดเสี่ยงระดับโลกได้ แม้ข้อบกพร่องจะถูกซ่อนอยู่ในระบบมานานหลายสิบปี และเมื่อ AI เข้ามาช่วยค้นหาจุดอ่อน ความสามารถในการตรวจพบช่องโหว่ก็อาจเพิ่มขึ้นอย่างมาก ขณะเดียวกัน องค์กรที่ใช้งานเว็บไซต์จำเป็นต้องให้ความสำคัญกับการอัปเดตระบบและการรับมือเหตุการณ์ไซเบอร์อย่างทันท่วงที