PHP2Shell (อัปเดต): พบความพยายามโจมตีก่อนแพตช์ + CVE ใหม่ Critical
CVE-2026-109618 / CVE-2026-109619 / CVE-2026-115560 | เริ่มพยายามโจมตี 17 ต.ค. | ยังไม่พบเจาะสำเร็จ
ณ 23 ต.ค. ยังไม่มีการยืนยันการเจาะสำเร็จ และ CISA ยังไม่เพิ่มเข้า KEV — การพบความพยายามโจมตี ≠ ระบบถูกเจาะ
อัปเดตจากข่าว 2026-10-21-php-critical-patch: Amazon Threat Intelligence พบความพยายามโจมตี PHP2Shell ใน MadPot ตั้งแต่ 17 ต.ค. (4 วันก่อนเปิดเผย) และพบเพิ่มหลัง PoC ออกเมื่อ 21 ต.ค. พร้อมเผยแพร่ IP ที่เกี่ยวข้อง แนะนำให้ไล่ตรวจ log ย้อนหลังตั้งแต่ 17 ต.ค. โดยดู POST ที่มีสตริง PHP_SESSION_UPLOAD_PROGRESS Sophos พบความพยายามติดตั้ง Mirai variant ชื่อ Potassium แต่ภายหลังแก้รายงานว่าเป็นความพยายามที่ไม่สำเร็จ SecurityWeek (23 ต.ค.) ระบุว่ายังไม่มีการยืนยันการเจาะสำเร็จจากผู้ผลิตรายใด และ VulnCheck พัฒนา exploit ที่ bypass ASLR ได้ 23 ต.ค. PHP ประกาศช่องโหว่ใหม่ CVE-2026-115560 (RCE ที่ยังไม่มีแพตช์) เกิดเฉพาะแอปที่ตั้ง session.serialize_handler เป็น php_binary/php_serialize แล้วสลับเป็น php ด้วย ini_set() ก่อน session_start() และเปิด session upload progress ไว้ แนวทาง: อัปเดตเป็น 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 และตั้ง session.upload_progress.enabled=0 ในระดับ php.ini/FPM pool (ไม่ใช่ ini_set หรือ .user.ini) จนกว่าจะมีรอบแพตช์ถัดไป
- AWS Security Blog: Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot (21 ต.ค. 2569)
- SecurityWeek: Mirai Botnet Operators Join PHP2Shell Attacks as ASLR Bypass Exploits Emerge (23 ต.ค. 2569)
- BleepingComputer: PHP shares mitigation for new RCE vulnerability with no patch (23 ต.ค. 2569)