PHP ออกแพตช์ช่องโหว่ร้ายแรง (ต.ค. 2026): เว็บ WordPress ของธุรกิจต้องทำอะไร

อะไรเกิดขึ้น

วันที่ 20 ตุลาคม 2026 ทีมความปลอดภัยของ PHP แจ้งล่วงหน้าว่าจะออกแพตช์ช่องโหว่ 2 ตัว คะแนนความรุนแรง CVSS v4.0 ตัวละ 9.2 จากนั้นวันที่ 21 ตุลาคม เวลา 14:00 UTC (21:00 น. เวลาไทย) ก็ออกประกาศบน php.net พร้อมเวอร์ชันที่แก้แล้ว

• ช่องโหว่ 2 ตัว: CVE-2026-109618 เกิดจากการจัดการหน่วยความจำเต็ม และ CVE-2026-109619 เกิดจากข้อมูลค้างจากคำขอก่อนหน้า ทั้งสองตัวอาจให้รันโค้ดจากภายนอกได้โดยไม่ต้องล็อกอิน
• ใครได้รับผล: PHP ทุกเครื่องที่ให้บริการเว็บ ทั้ง PHP-FPM, Apache แบบ mod_php, php-cgi, FrankenPHP และ LiteSpeed โดย PHP ประเมินว่า mod_php เสี่ยงที่สุด
• เวอร์ชันเก่า: PHP 8.1 ลงไปไม่ได้รับอัปเดตจากโครงการ PHP แล้ว ทาง PHP ทำแพตช์ขั้นต่ำให้ 7.4, 8.0 และ 8.1 เฉพาะคนที่คอมไพล์เอง และแจ้งว่า PHP 8.2 จะหมดอายุการดูแลวันที่ 31 ธันวาคม 2026

วันเดียวกัน WordPress.org ออกประกาศ ว่าช่องโหว่นี้ไม่ได้เฉพาะกับ WordPress แต่กระทบทุกเซิร์ฟเวอร์ที่รัน PHP และระบุว่า "No WordPress update is required or planned for these issues." (WordPress.org) พร้อมแนะนำให้เจ้าของเว็บเช็กเวอร์ชัน PHP และติดต่อโฮสต์

หมายความว่าอะไรกับธุรกิจไทย

• ไม่ใช่เรื่องของ WordPress อย่างเดียว: เว็บบริษัท ร้านค้า WooCommerce ระบบจอง หรือเว็บที่เขียนด้วย PHP เอง ได้รับผลเหมือนกัน กดอัปเดตปลั๊กอินในหลังบ้านแก้เรื่องนี้ไม่ได้
• คนแก้คือคนดูแลเซิร์ฟเวอร์: เว็บธุรกิจส่วนใหญ่อยู่บนโฮสติ้งแบบแชร์ ซึ่งโฮสต์เป็นคนอัปเดต PHP ส่วนเว็บที่อยู่บน VPS หรือเซิร์ฟเวอร์ของตัวเอง ต้องมีคนในบริษัทหรือผู้ดูแลระบบอัปเดตเอง ถ้าไม่รู้ว่าใครดูแล นี่คือเวลาที่ต้องรู้
• เว็บที่ทำไว้นานแล้วเสี่ยงที่สุด: เว็บที่ไม่ได้แตะมาหลายปีมักยังใช้ PHP 7.x ซึ่งไม่มีอัปเดตจากโครงการ PHP แล้ว การย้ายขึ้นเวอร์ชันใหม่อาจทำให้ธีมหรือปลั๊กอินเก่าพัง จึงต้องสำรองข้อมูลและทดสอบก่อน
• เว็บโดนเจาะ เสียมากกว่าเว็บล่ม: เว็บที่ถูกฝังโค้ดอาจส่งคนไปเว็บอื่น หรือถูก Google เตือนว่าไม่ปลอดภัย ซึ่งกระทบทั้งความเชื่อใจของลูกค้าและอันดับค้นหา

เราปรับงานลูกค้ายังไง

แพตช์ PHP เป็นงานฝั่งเซิร์ฟเวอร์ ข่าวนี้จึงทำให้เราให้น้ำหนักกับส่วนของแผนดูแลเว็บที่ทำอยู่แล้วมากขึ้น และเพิ่มการเช็กเวอร์ชัน PHP เข้าไปในงานประจำ

• เช็กเวอร์ชัน PHP เป็นส่วนหนึ่งของรายงานสถานะ: แผนดูแลเว็บรายเดือนมีรายงานสถานะทุกเดือนอยู่แล้ว เราใส่เวอร์ชัน PHP ไว้ในรายงาน คู่กับเวอร์ชัน WordPress ธีม และปลั๊กอิน
• ให้โฮสต์ยืนยัน ไม่เดา: เลขเวอร์ชันใน Site Health ไม่ได้บอกเสมอว่าโฮสต์ติดตั้งแพตช์ย้อนหลังแล้ว เราจึงถามโฮสต์ให้ยืนยันเป็นลายลักษณ์อักษร
• ขอบเขตชัดตามประเภทโฮสต์: บนโฮสติ้งแบบ managed แผนดูแลครอบคลุมทั้งระบบ บน VPS เปล่าแผนครอบคลุมเฉพาะ WordPress เราจึงบอกเจ้าของตรงๆ ว่า PHP บนเซิร์ฟเวอร์นั้นใครต้องเป็นคนอัปเดต
• สำรองก่อน ทดสอบหลัง: ก่อนเปลี่ยนเวอร์ชัน PHP เราสำรองข้อมูลแบบกู้คืนได้ หลังเปลี่ยนเราเปิดทุกหน้าหลักและส่งฟอร์มจริง เพื่อให้แน่ใจว่าลูกค้าของลูกค้ายังติดต่อเข้ามาได้
• ส่งมอบให้รู้ว่าใครดูแลอะไร: ตอนส่งมอบเว็บ เราบอกลูกค้าว่าโฮสต์คือใคร บัญชีอยู่ในชื่อใคร และใครรับผิดชอบงานระบบ เพื่อให้วันที่มีข่าวแบบนี้ ไม่มีใครต้องเดา

ตัวอย่างงานที่เราดูแลบน WordPress เช่น N.A.N. Inspection & Engineering บริษัทตรวจสอบและวิศวกรรมในระยอง ที่เราสร้างเว็บใหม่บน WordPress กับ Elementor และติดอันดับ 1 บน Google คำว่า "หน่วยรับรองหม้อน้ำ" ภายใน 39 วันหลังเปิดเว็บ อันดับที่ทำมาจะมีค่าก็ต่อเมื่อเว็บยังปลอดภัย งาน SEO ทั้งหมด ตั้งแต่บทความไปจนถึง Schema Markup ที่ช่วยให้ Google และ AI เข้าใจธุรกิจ ก็เช่นกัน

ทำอะไรตอนนี้: เช็กลิสต์สั้นๆ

• เข้า WordPress เมนู Tools แล้วไปที่ Site Health แท็บ Info หัวข้อ Server จดเวอร์ชัน PHP ไว้
• ถามโฮสต์ว่าเซิร์ฟเวอร์ติดตั้ง PHP 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 หรือแพตช์ย้อนหลังที่เทียบเท่าแล้วหรือยัง
• ถ้ายังใช้ PHP 8.1 ลงไป วางแผนย้ายขึ้นเวอร์ชันที่ยังได้รับการดูแล และจำไว้ว่า 8.2 จะหมดอายุ 31 ธันวาคม 2026
• สำรองข้อมูลทั้งเว็บก่อนเปลี่ยนเวอร์ชัน PHP และรู้ว่ากู้คืนยังไง
• หลังเปลี่ยน เปิดหน้าหลักทุกหน้า ทดสอบฟอร์มและปุ่มติดต่อจริง
• ถ้าเว็บอยู่บน VPS หรือเซิร์ฟเวอร์ของตัวเอง ให้ผู้ดูแลระบบอัปเดต PHP ทันที

ผลงานที่เกี่ยวข้อง

N.A.N. Inspection & Engineeringตรวจสอบและวิศวกรรม · ไทยดูเคสPIMORA Wellness & Surgery Asiaเมดิคัลเวลเนส · กรุงเทพฯดูเคสMelody Pool Villaพูลวิลล่า · ไทยดูเคส

ดูว่าแผนดูแลเว็บทำอะไรให้บ้าง และค่าใช้จ่ายต่อปีเท่าไหร่ ได้ที่ ค่าดูแลเว็บไซต์ต่อปี และถ้าคุณกำลังจะทำเว็บใหม่ ดู บริการรับทำเว็บไซต์ WordPress ของเราครับ

แหล่งอ้างอิง

• PHP.net: Security advisory, critical remote code execution vulnerabilities (21 ต.ค. 2026)
• WordPress.org News: Critical PHP Security Release (21 ต.ค. 2026)
• GitHub php-src: GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
• GitHub php-src: GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
• PHP.net: Supported Versions
• WordPress.org: Update PHP