อัปเดตความปลอดภัย PHP: แพตช์ก่อน แล้วตรวจข้อมูลลับและสิทธิ์เข้าถึง

วันที่ 21 ตุลาคม 2026 PHP ออก 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 เพื่อแก้ CVE-2026-109618 และ CVE-2026-109619 ช่องโหว่ร้ายแรงที่อาจทำให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ประกาศทางการ ระบุความเสี่ยงในระบบที่รับคำขอเว็บ รวมถึง PHP-FPM และ Apache mod_php การอัปเดตคือวิธีแก้ครบถ้วน มาตรการชั่วคราวไม่เทียบเท่า

การมีระบบที่มีช่องโหว่ ไม่ใช่หลักฐานว่าถูกบุกรุกแล้ว ให้มองการแพตช์ การสอบสวน และการกู้คืนข้อมูลรับรองเป็นงานที่เกี่ยวข้องกัน แต่ตัดสินใจตามสภาพแวดล้อมและหลักฐาน

ยืนยันว่าอะไรรับคำขอจริง

ทำรายการเว็บไซต์สาธารณะ บริการภายใน คอนเทนเนอร์ และบัญชีโฮสติ้งที่รัน PHP ยืนยันเวอร์ชันและสถานะแพตช์ของตัวที่ประมวลผลคำขอเว็บ เวอร์ชันจากบรรทัดคำสั่งอาจเป็นอีกชุดติดตั้ง

ถ้าใช้โฮสติ้งแบบจัดการ ให้ผู้ดูแลยืนยันแพ็กเกจที่ใช้ บริการที่เกี่ยวข้อง และการรีสตาร์ตหรือทยอยอัปเดต ผู้จัดทำดิสทริบิวชันอาจนำแพตช์กลับไปใส่รุ่นเก่า จึงควรขอการยืนยันแทนการดูแค่เลขรุ่นต้นทาง ตรวจขอบเขตกับผู้ดูแลจาก คำแนะนำทีม PHP อย่าเผยแพร่หน้าวินิจฉัยที่เปิดเผยการตั้งค่าเซิร์ฟเวอร์

จำกัดการเปิดรับและฟื้นสภาพแวดล้อมที่เชื่อถือได้

ประสานอัปเดตกับทีมโฮสติ้งหรือปฏิบัติการโดยเร็ว จำกัดการเปิดรับหรือแยกระบบเมื่อการประเมินเหตุการณ์กำหนด พร้อมรักษาหลักฐานที่เกี่ยวข้อง อย่าชะลอการควบคุมฉุกเฉินเพียงเพื่อเก็บบันทึกให้ครบ

ตรวจช่วงเวลาที่เปิดรับ บันทึกเว็บและระบบ ไฟล์หรือโปรเซสที่ไม่คาดคิด และเหตุการณ์ตรวจสอบของผู้ให้บริการที่เกี่ยวข้อง ไม่มีการแจ้งเตือนหรือบันทึกดูปกติไม่ได้พิสูจน์ว่าเครื่องไม่ถูกแตะต้อง

ถ้ายืนยันการบุกรุกหรือมีเหตุสงสัยสมควร ให้ทำตามกระบวนการเหตุการณ์เพื่อสร้างใหม่หรือกู้คืนจากแหล่งเชื่อถือได้ แพตช์ไม่ลบกลไกคงอยู่ของผู้โจมตี อย่าใช้เครื่องหรืออุปกรณ์ที่ไม่เชื่อถือเพื่อสร้าง รับ หรือติดตั้งข้อมูลลับทดแทน

ประเมินข้อมูลรับรองก่อนหมุนเวียน

ลิสต์ข้อมูลที่โปรเซสที่ได้รับผลกระทบอาจเข้าถึงได้ เช่น การตั้งค่าแอป ตัวแปรสภาพแวดล้อม โทเคนปรับใช้ ข้อมูลรับรองฐานข้อมูล และคีย์ API ประเมินสิทธิ์ ขอบเขต และโอกาสเปิดเผย ประกาศเพียงอย่างเดียวไม่ได้แสดงว่าข้อมูลรับรองทั้งองค์กรรั่วแล้ว

สำหรับข้อมูลที่อาจเปิดเผย ให้ใช้อุปกรณ์ผู้ดูแลที่เชื่อถือได้ประสานการเปลี่ยนและเพิกถอนที่ผู้ให้บริการผู้ออก ติดตั้งค่าใหม่ในสภาพแวดล้อมที่สร้างใหม่อย่างเชื่อถือได้ และยืนยันการเชื่อมต่อที่ถูกต้อง เลือกลำดับตามการใช้งานในทางร้ายที่กำลังเกิด ความสามารถผู้ให้บริการ และการพึ่งพาของบริการ อย่าสัญญาว่าจะไม่มีหยุดชะงักหรือปล่อยคีย์ที่เปิดเผยใช้งานไม่มีกำหนดเพื่อความสะดวก

ตรวจเซสชันและสิทธิ์กู้คืนตามความเหมาะสม บันทึกผู้รับผิดชอบแต่ละการเปลี่ยน อย่าใส่ค่าลับจริงในทิกเก็ตหรือบันทึกเหตุการณ์ OWASP

ปิดสิทธิ์ฉุกเฉินเมื่อจบงาน

ให้ผู้ตอบสนองมีบัญชีส่วนตัว สิทธิ์จำกัด และเวลาสิ้นสุดที่ตกลงกัน หลังฟื้นระบบให้ตรวจบทบาทชั่วคราว เซสชัน สิทธิ์ปรับใช้ และลิงก์ส่งมอบ ลบสิทธิ์ที่ยังค้างโดยไม่จำเป็น และยืนยันผลที่บริการนั้น ไม่พึ่งแค่การเตือนในปฏิทิน

แยกการควบคุมสามแบบ

การควบคุม	เปลี่ยนอะไร	ไม่ทำอะไร
ลิงก์ส่งมอบหมดอายุ	การเข้าครั้งถัดไปผ่านลิงก์นั้น	ไม่เพิกถอนข้อมูลรับรองของผู้ให้บริการ
เพิกถอนคีย์ที่ผู้ให้บริการ	ผู้ให้บริการยอมรับคีย์หรือไม่	ไม่ลบสำเนาหรือซ่อมเครื่องที่ถูกบุกรุก
ลบข้อความหรือบันทึก	ความพร้อมของรายการในระบบนั้น	ไม่เรียกคืนดาวน์โหลด ภาพหน้าจอ หรือข้อความคัดลอก

ส่งมอบชั่วคราวหลังฟื้นความเชื่อถือแล้วเท่านั้น

ถ้ากระบวนการอนุญาต ให้ สร้างบันทึกที่ป้องกันด้วยรหัสผ่าน จากระบบที่เชื่อถือได้ โดยใส่เพียงข้อมูลขั้นต่ำสำหรับผู้รับที่ตรวจสอบแล้ว ส่งรหัสผ่านแยก และใช้วันหมดอายุหรือขีดจำกัดการเข้าถึงเมื่อแผนรองรับ อย่าใส่วลีกู้คืนกระเป๋าเงินหรือคีย์ส่วนตัว

LOCK.PUB เป็นเครื่องมือส่งมอบที่มีขอบเขตจำกัด ไม่แพตช์ PHP ไม่ซ่อมอุปกรณ์ติดเชื้อ ไม่เพิกถอนคีย์ผู้ให้บริการ และไม่เรียกคืนสำเนา มันไม่แทนตัวจัดการข้อมูลลับ การควบคุมตัวตน หรือการตอบสนองเหตุการณ์

คำถามที่พบบ่อย

ติดตั้งอัปเดต PHP แล้วจบการสอบสวนหรือไม่?

ไม่ การอัปเดตแก้ช่องโหว่ แต่หลักฐานและการเปิดรับกำหนดว่ายังต้องสอบสวน กู้คืน และจัดการข้อมูลรับรองใดต่อ

บันทึกหมดอายุแล้วคีย์ API ข้างในจะถูกปิดหรือไม่?

ไม่ ต้องเพิกถอนหรือเปลี่ยนที่ผู้ให้บริการ ข้อมูลรับรองที่คัดลอกไว้แยกจากลิงก์ที่ใช้ส่ง

เกี่ยวข้อง: แชร์คีย์ API โดยเข้าใจข้อจำกัด