รายงานความเสี่ยง PHP
ในประเทศไทย

แนวทางปฏิบัติสำหรับผู้ดูแลระบบ: ดำเนินการเฉพาะระบบที่อยู่ในความรับผิดชอบ และบันทึกผลตรวจสอบแยกตามเว็บไซต์ เครื่อง และเวอร์ชัน PHP

1. สำรวจ PHP ที่เว็บไซต์ใช้งานจริง

   จัดทำรายการเว็บไซต์และพอร์ต ตรวจสอบ PHP version, SAPI (เช่น FPM, Apache module หรือ CGI), ระบบปฏิบัติการ และแหล่งที่มาของแพ็กเกจจากแผงควบคุมหรือการตั้งค่า web server ให้ครบทุก virtual host, container และเครื่องหลัง load balancer

   php -v
   php --ini

   คำสั่งนี้ตรวจ PHP ของ CLI เท่านั้น ต้องเทียบกับ PHP ที่เว็บไซต์ใช้งานจริงด้วย หากต้องใช้หน้าวินิจฉัย ให้จำกัดการเข้าถึงภายในและลบเมื่อเสร็จ ห้ามเปิด phpinfo() สู่สาธารณะ

2. ยืนยันแพตช์กับผู้ผลิต

   เทียบเวอร์ชันและเลข revision ของแพ็กเกจกับประกาศความปลอดภัยของ PHP หรือผู้จำหน่ายระบบปฏิบัติการ โดยตรวจ CVE-2026-109618 และ CVE-2026-109619 หากเป็นแพ็กเกจ backport ให้เก็บหลักฐานจากผู้ผลิตประกอบ ไม่ตัดสินจากหมายเลข PHP เพียงอย่างเดียว รุ่นที่หมดการสนับสนุนควรวางแผนย้ายไปสาขาที่ยังได้รับการอัปเดต

3. สำรองข้อมูลและเตรียมย้อนกลับ

   สำรองฐานข้อมูล โค้ด การตั้งค่า PHP / web server และรายการ extensions เก็บสำเนานอกเครื่องที่แก้ไข ทดสอบกู้คืน และกำหนดช่วงบำรุงรักษา พร้อมผู้รับผิดชอบและเกณฑ์ย้อนกลับ หากพบหลักฐานบุกรุก ให้เก็บ log และหลักฐานก่อนแก้ไข ประสานทีมตอบสนองเหตุการณ์ด้วย

4. ทดสอบรุ่นใหม่ในระบบทดสอบ

   ใช้รุ่นล่าสุดที่ผู้ผลิตยังสนับสนุนและแก้ช่องโหว่แล้ว ตรวจความเข้ากันได้ของแอปพลิเคชัน framework, extensions และฐานข้อมูล ทดสอบการเข้าสู่ระบบ session การอัปโหลด งานตามเวลา และการเชื่อมต่อบริการภายนอกก่อนใช้งานจริง

5. ติดตั้งแพตช์ตามรูปแบบระบบ

   เลือกแนวทางด้านล่างตามแหล่งติดตั้ง อัปเดต PHP และ extensions ที่เกี่ยวข้องให้สอดคล้องกัน ตรวจรายการเปลี่ยนแปลงก่อนยืนยันทุกครั้ง

   Linux: Debian / Ubuntu

   ตรวจแพ็กเกจที่ติดตั้งและรุ่นที่ repository เสนอ จากนั้นอัปเดตเฉพาะรายชื่อแพ็กเกจที่ตรวจสอบแล้ว

   dpkg-query -W 'php*'
   sudo apt update
   apt-cache policy <ชื่อแพ็กเกจ-PHP>
   sudo apt install --only-upgrade <ชื่อแพ็กเกจ-PHP> <ชื่อแพ็กเกจ-extension>

   แทนค่าภายใน <…> ด้วยชื่อจริง หาก repository ยังไม่มีรุ่นแก้ไข ให้ตรวจประกาศของผู้จำหน่ายและแนวทางอัปเกรดที่รองรับ

   Linux: RHEL / Rocky / AlmaLinux

   rpm -qa 'php*'
   sudo dnf check-update 'php*'
   sudo dnf upgrade <ชื่อแพ็กเกจ-PHP> <ชื่อแพ็กเกจ-extension>

   ตรวจ repository และ module stream ที่ระบบใช้อยู่ รวมถึงแพตช์ backport ของผู้จำหน่าย ไม่เปลี่ยน stream โดยไม่ทดสอบการย้ายรุ่นก่อน

   Windows / IIS หรือแผงควบคุมโฮสติ้ง

   ใช้ชุดอัปเดตจากผู้จำหน่ายหรือแผงควบคุม ตรวจ architecture, Thread Safety และ extensions ให้ตรงกับระบบ ตรวจ handler / FastCGI path หรือ PHP selector ของทุกเว็บไซต์ แล้วเปลี่ยนไปใช้รุ่นที่แก้ไขแล้วตามคู่มือผู้ผลิต

   สำรองการตั้งค่าเดิม และ recycle เฉพาะ application pool หรือบริการที่เกี่ยวข้องในช่วงบำรุงรักษา

   Container / Docker / Kubernetes

   ปรับ base image เป็นรุ่นที่แก้ไขและยังสนับสนุน สร้าง image ใหม่ ทดสอบ แล้ว deploy แบบทยอยเปลี่ยน ตรวจว่า worker และ replica ทุกตัวใช้ image ใหม่ บันทึก tag และ digest เพื่ออ้างอิง ไม่แก้ไฟล์ใน container ชั่วคราวแล้วถือว่าอัปเดตเสร็จ

   ตัวอย่างคำสั่งใช้กับแพ็กเกจจากระบบจัดการแพ็กเกจเท่านั้น ระบบที่ติดตั้งจากซอร์สหรือผู้ให้บริการเฉพาะต้องใช้ขั้นตอนของผู้ผลิต และใช้สิทธิ์ผู้ดูแลเฉพาะเมื่อจำเป็น

6. นำขึ้นใช้งานและเริ่มกระบวนการ PHP ใหม่

   ตรวจความถูกต้องของ configuration แล้ว restart หรือ recycle บริการ PHP / application pool ที่ใช้งานจริงตามคู่มือของระบบ เพื่อให้ worker เดิมหยุดทำงาน หากเป็น Apache module ให้ดำเนินการกับ Apache ตามแผนบำรุงรักษา ตรวจทุกเครื่องหลัง load balancer และทุก PHP pool ไม่ถือว่าการสลับจาก mod_php ไป FPM เพียงอย่างเดียวเป็นการแก้ช่องโหว่

7. ตรวจผลหลังอัปเดตและติดตาม log

   ยืนยันเวอร์ชันและแพตช์จาก runtime ของเว็บไซต์อีกครั้ง ตรวจสถานะบริการ HTTP และ HTTPS พร้อมทดสอบฟังก์ชันสำคัญ เปรียบเทียบ error log, PHP-FPM / web server log และอัตรา HTTP 5xx ก่อนและหลังเปลี่ยนแปลง หากผิดปกติให้ใช้แผนย้อนกลับและจำกัดการเข้าถึงจนแก้ไขได้

8. บันทึกหลักฐานและติดตามต่อเนื่อง

   บันทึกผู้ดำเนินการ วันเวลา เว็บไซต์ที่ตรวจ รุ่นแพ็กเกจ / image digest ประกาศผู้ผลิต และผลทดสอบ จัดรอบตรวจแพตช์เป็นประจำ การลดข้อมูล version header หรือใช้ WAF เป็นมาตรการเสริม ไม่ใช้แทนการติดตั้งแพตช์ และข้อมูลสถิติภายนอกอาจยังแสดงค่าเดิมจนกว่าจะมีการเก็บข้อมูลใหม่