รูปภาพเพื่อช่วยให้เข้าใจบทความ
ช่องโหว่ร้ายแรง เปิดทางรันมัลแวร์โดยไม่ต้องยืนยันตัวตน
รัฐบาลเกาหลีใต้ยกระดับสัญญาณเตือนภัยวิกฤตไซเบอร์ในภาคเอกชนจากระดับ “เฝ้าระวัง” เป็น “ระวัง” เมื่อเวลา 12.00 น. วันที่ 22 หลังพบความพยายามโจมตีช่องโหว่ที่เรียกว่า PHPtoShell อย่างต่อเนื่องภายในประเทศ
กระทรวงวิทยาศาสตร์และไอซีทีเกาหลีใต้กับสำนักงานความมั่นคงทางอินเทอร์เน็ตเกาหลี หรือ KISA ได้เปิดระบบรับมือฉุกเฉิน พร้อมส่งคำแนะนำไปยังบริษัทที่ขึ้นทะเบียนผู้บริหารสูงสุดด้านความมั่นคงปลอดภัยสารสนเทศราว 28,000 แห่ง และสมาชิกเครือข่ายแบ่งปันข้อมูลภัยคุกคามไซเบอร์อีกราว 5,900 แห่ง
PHPtoShell ครอบคลุมช่องโหว่ 2 รายการที่เกิดจากข้อบกพร่องด้านการจัดการหน่วยความจำของ PHP ใช้รหัส CVE-2026-109618 และ CVE-2026-109619 ผู้โจมตีสามารถสั่งให้เซิร์ฟเวอร์รันโค้ดอันตรายได้โดยไม่ต้องผ่านการยืนยันตัวตน โดยมีระดับความรุนแรง 9.2 จากคะแนนเต็ม 10
ตรวจพบการโจมตีก่อนแพตช์ออก 4 วัน
ทีมข่าวกรองภัยคุกคามของอเมซอนระบุว่า พบความพยายามใช้ประโยชน์จากช่องโหว่ตั้งแต่วันที่ 17 หรือก่อนทีมพัฒนา PHP เผยแพร่แพตช์เมื่อวันที่ 21 ถึง 4 วัน ขณะที่อิมเพอร์วาตรวจพบคำขอที่เกี่ยวข้อง 482,342 ครั้ง และเซสชันโจมตี 122,311 รายการภายใน 24 ชั่วโมงแรกหลังมีการเปิดเผยข้อมูล ครอบคลุมเว็บไซต์ 21,998 แห่งใน 103 ประเทศ อย่างไรก็ตาม ตัวเลขดังกล่าวไม่ได้หมายความว่าการเจาะระบบสำเร็จทั้งหมด
พาโลอัลโต เน็ตเวิร์กส์ประเมินว่า มีระบบ PHP ที่เปิดเชื่อมต่อกับอินเทอร์เน็ตราว 22 ล้านระบบทั่วโลก แต่ย้ำว่าไม่ได้หมายความว่าทุกระบบจะมีช่องโหว่
บริษัทความปลอดภัยเปิดเครื่องมือตรวจสอบฟรี
บริษัทความปลอดภัยไซเบอร์หลายแห่งในเกาหลีใต้เร่งสนับสนุนการตรวจสอบระบบ ทีโอรีเผยแพร่คู่มือรับมือและสคริปต์ตรวจสอบการตั้งค่า หลังจำลองโค้ดโจมตีได้สำเร็จ พร้อมเตือนว่ามาตรการชั่วคราวไม่อาจป้องกันการโจมตีได้ทั้งหมดและอาจกระทบการทำงานบางส่วน จึงจำเป็นต้องติดตั้งแพตช์อย่างเป็นทางการ
เอ็นกีไวต์แฮตเปิดตัวสแกนเนอร์ฟรีสำหรับตรวจสอบเวอร์ชันและการตั้งค่า PHP โดยอีซองกวอน ประธานเจ้าหน้าที่บริหาร ระบุว่า ช่องโหว่ที่ส่งผลกระทบในวงกว้างเช่นนี้จำเป็นต้องเร่งค้นหาทรัพย์สินดิจิทัลที่เปิดเผยต่ออินเทอร์เน็ตและแก้ไขก่อนผู้โจมตี เพื่อรักษา “ช่วงเวลาทอง” ในการรับมือ
พีโอริงก์เปิดหน้าเว็บให้ผู้ดูแลกรอกที่อยู่เว็บไซต์เพื่อตรวจสอบเวอร์ชัน PHP และความจำเป็นในการติดตั้งแพตช์ ส่วนเซิร์ฟเวอร์ที่ซ่อนข้อมูลเวอร์ชันจะแสดงผลว่าไม่สามารถตรวจสอบได้และแนะนำให้ผู้ดูแลตรวจสอบด้วยตนเอง ด้านสตีเลียนเปิดบริการตรวจสอบออนไลน์ฟรีเพื่อช่วยองค์กรและธุรกิจขนาดกลางและขนาดย่อมที่ขาดแคลนบุคลากรด้านความปลอดภัย ขณะที่อันแล็บเผยแนวทางตรวจจับการรันคำสั่งผิดปกติ การสร้างเว็บเชลล์ และการเปลี่ยนแปลงไฟล์
อย่างไรก็ตาม การตรวจสอบจากภายนอกมีข้อจำกัด หากเซิร์ฟเวอร์ปกปิดเวอร์ชัน PHP ก็อาจระบุความเสี่ยงได้ยาก อีกทั้งผลตรวจที่ไม่พบปัญหาไม่ได้ยืนยันว่าการตั้งค่าภายในปลอดภัยหรือระบบไม่เคยถูกเจาะมาก่อน
ติดตั้งแพตช์แล้วต้องรีสตาร์ตและตรวจหาร่องรอย
KISA แนะนำให้อัปเดต PHP เป็นเวอร์ชันความปลอดภัยล่าสุดและรีสตาร์ตบริการเว็บ เพราะโปรแกรมเดิมที่ยังค้างอยู่ในหน่วยความจำอาจทำให้ระบบยังมีช่องโหว่ ผู้ดูแลควรตรวจสอบบันทึกการเชื่อมต่อย้อนหลังอย่างน้อยตั้งแต่วันที่ 20 ตุลาคม และตรวจย้อนหลังไปไกลกว่านั้นหากทำได้
หลังติดตั้งแพตช์ยังต้องตรวจสอบว่ามีเว็บเชลล์ถูกฝังไว้หรือไม่ รวมถึงเปลี่ยนข้อมูลรับรองสำคัญ เช่น รหัสผ่านฐานข้อมูลและโทเคนยืนยันตัวตน
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกาหลีใต้เตือนให้ระวังเครื่องมือจัดการฐานข้อมูลบน PHP เช่น phpMyAdmin ที่เปิดให้เข้าถึงจากภายนอกหรือกำหนดสิทธิ์มากเกินจำเป็น พร้อมขอให้จำกัดการเข้าถึงผ่านอินเทอร์เน็ต และตรวจสอบพฤติกรรมผิดปกติ เช่น การเรียกดูหรือส่งออกข้อมูลส่วนบุคคลจำนวนมาก เนื่องจากความเสียหายอาจไม่จำกัดอยู่ที่หน้าเว็บไซต์ แต่ลุกลามไปถึงฐานข้อมูลและนำไปสู่การรั่วไหลของข้อมูลผู้ใช้ในวงกว้าง
ตั้งคำถามถึงการติดตามระบบของหน่วยงานรัฐ
ในการตรวจสอบหน่วยงานรัฐของรัฐสภาเมื่อวันที่ 23 ฮันจุนโฮ สมาชิกสภาผู้แทนราษฎรเกาหลีใต้ ตั้งข้อสังเกตว่า แม้รัฐบาลออกประกาศเตือนด้านความปลอดภัยฉุกเฉินแล้ว แต่ KISA ยังไม่สามารถตรวจสอบได้อย่างเพียงพอว่าหน่วยงานภาครัฐใดมีระบบที่เสี่ยงและติดตั้งอัปเดตครบถ้วนหรือไม่
อีซังจุง ผู้อำนวยการ KISA ชี้แจงว่า ความรับผิดชอบในการดำเนินงานแยกอยู่ตามแต่ละหน่วยงาน ทำให้มีข้อจำกัดทางสถาบันต่อการเข้าไปตรวจสอบระบบแต่ละแห่งโดยตรง ขณะที่ฮันจุนโฮขอให้รายงานความคืบหน้าของมาตรการติดตามต่อสำนักงานของเขา
ความคิดเห็น
แสดงความคิดเห็น