MatrixMonitor: วิเคราะห์ 295 ไอพีแฮกเกอร์ช่วงวิกฤต PHP2Shell
เจาะลึกรายงาน 27 หน้าจากผู้สร้างแดชบอร์ด 3D ทั่วโลก เผยสถิติการโจมตีช่วงช่องโหว่รันไทม์ PHP เมื่อ 21 ตุลาคม 2026 พร้อมข้อจำกัดของระบบ
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- ช่องโหว่ PHP2Shell (CVE-2026-109618 และ CVE-2026-109619) มีคะแนนความรุนแรง CVSS 9.2
- แดชบอร์ด MatrixMonitor บันทึกไอพีโจมตี 295 หมายเลขจาก 49 ประเทศ ระหว่าง 20-22 ตุลาคม 2026
- สหรัฐอเมริกาครองแชมป์แหล่งเซิร์ฟเวอร์โจมตีสูงสุด ส่วนเยอรมนี สหรัฐฯ และฝรั่งเศสเป็นเป้าหมายหลัก
- การวิเคราะห์เผยจุดอ่อน 5 ประการในตัวระบบเอง ซึ่งเป็นประโยชน์สูงสุดสำหรับผู้พัฒนา
อินเทอร์เน็ตทั่วโลกเผชิญแรงสั่นสะเทือนครั้งใหญ่เมื่อวันที่ 21 ตุลาคม 2026 หลังมีการเปิดเผยช่องโหว่ความปลอดภัยด้านหน่วยความจำสองรายการในรันไทม์ของ PHP ซึ่งเปิดทางให้ผู้โจมตีรันโค้ดระยะไกลได้โดยไม่ต้องยืนยันตัวตน แดชบอร์ด MatrixMonitor โปรเจกต์ส่วนตัวที่แสดงผลการโจมตีบนลูกโลก 3 มิติ จึงได้รวบรวมข้อมูลย้อนหลัง 3 วัน (20-22 ตุลาคม UTC) เพื่อจัดทำรายงานวิเคราะห์ภัยคุกคามความยาว 27 หน้า โดยครอบคลุมถึงกลไกการทำงาน เหตุการณ์ในช่วงสถิติ และพฤติกรรมของไอพีผู้โจมตี 295 หมายเลข
ระบบ MatrixMonitor ทำงานโดยใช้เวิร์กเกอร์ .NET ดึงบัญชีดำจาก AbuseIPDB แปลงพิกัดไอพีด้วย MaxMind และคัดเลือก 100 ไอพีสูงสุดมาประเมินรายงานย้อนหลัง 24 ชั่วโมง เพื่อระบุรูปแบบการโจมตี เช่น การเดารหัสผ่าน การละเมิด SSH หรือการโจมตีเว็บแอปพลิเคชัน ก่อนหน้านี้โปรเจกต์วางแผนเพิ่มระบบตรวจจับความผิดปกติด้วย ML.NET และการสตรีมข้อมูลสด แต่เหตุการณ์สัปดาห์นี้ได้พิสูจน์ให้เห็นความจำเป็นอย่างชัดเจนว่าระบบต้องการฟีเจอร์เหล่านี้
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
วิกฤตดังกล่าวมีชื่อเรียกว่า PHP2Shell ซึ่งประกอบด้วย CVE-2026-109618 และ CVE-2026-109619 โดยทั้งคู่ได้คะแนน CVSS v4.0 สูงถึง 9.2 จุด ความน่ากลัวอยู่ที่ตัวโค้ดที่มีปัญหาฝังอยู่ลึกในรันไทม์ของ PHP ตั้งแต่เวอร์ชัน 5.4 ในปี 2012 ส่งผลให้เว็บไซต์ WordPress, Drupal หรือ Joomla ที่อัปเดตแล้วยังคงมีความเสี่ยงหากไม่ได้อัปเดตตัว PHP ภายในระบบ Cloudflare บันทึกคำขอโจมตีหลักหมื่นครั้งในเวลาเพียง 45 นาทีแรก และพุ่งทะยานเป็นหลักล้านครั้งภายในวันที่ 22 ตุลาคม แม้จะยังไม่มีรายงานการรันโค้ดสำเร็จยืนยันในโลกจริง แต่บริการของรัฐบาล โรงเรียน และบริษัทหลายแห่งต้องปิดตัวชั่วคราวเพื่อความปลอดภัย วิธีแก้คือการอัปเกรด PHP และรีสตาร์ทเซิร์ฟเวอร์
จากการบันทึกสถิติ 3 วัน MatrixMonitor พบรายการโจมตีความเชื่อมั่นสูง 300 รายการ มาจากไอพีที่ไม่ซ้ำกัน 295 หมายเลข ครอบคลุม 49 ประเทศ และโจมตีเป้าหมายใน 69 ประเทศ ไอพีจากสหรัฐอเมริกาครองอันดับสูงสุดในทุกวัน ส่วนจีนลดลงครึ่งหนึ่งจาก 17 เหลือ 9 หมายเลข เมื่อแบ่งตามภูมิภาคพบว่าเอเชียตะวันออกยุโรป และอเมริกาเหนือมีสัดส่วนใกล้เคียงกันที่ 25%, 24% และ 24% ตามลำดับ อย่างไรก็ตาม ประเทศที่โฮสต์เซิร์ฟเวอร์ไม่ได้หมายถึงสัญชาติที่แท้จริงของผู้โจมตี เนื่องจากแ역ส่วนใหญ่มักเช่าคลาวด์หรือ VPS เพื่อใช้เป็นโครงสร้างพื้นฐานในการโจมตีแบบอัตโนมัติผ่านบอตเน็ตที่สแกนอินเทอร์เน็ตวงกว้าง
การวิเคราะห์เชิงลึกชี้ให้เห็นว่า ตัวเลขการโจมตีที่สูงไม่ได้สะท้อนถึงเจตนาพุ่งเป้ามาที่เหยื่อรายใดรายหนึ่งโดยเฉพาะ แต่เป็นพฤติกรรมของบอตเน็ตอัตโนมัติที่สแกนหาช่องโหว่ไปทั่วอินเทอร์เน็ต นอกจากนี้ ตำแหน่งที่ตั้งของเซิร์ฟเวอร์มักสะท้อนถึงแหล่งบริการโฮสติ้งและผู้ให้บริการความปลอดภัยที่มีการตรวจจับสูง เช่น เยอรมนี สหรัฐฯ และฝรั่งเศส ซึ่งมักรายงานเหตุการณ์มากกว่าประเทศอื่น ทำให้สถิติความเสียหายกระจุกตัวในประเทศเหล่านี้
เมื่อเปรียบเทียบข้อมูลกับแหล่งอื่นอย่าง Amazon, Wordfence และ Sophos ผู้สร้างพบเบาะแสที่น่าสนใจสองประการ ประการแรกคือไอพีในกลุ่มเครือข่ายย่อยเดียวกันกับผู้โจมตีที่เคยถูกรายงาน และประการที่สองคือรูปแบบการตรวจพบจาก Google Cloud ในเบลเยียม ซึ่งส่งคำขอตรวจสอบความดันหน่วยความจำในช่วงเวลาใกล้เคียงกัน อย่างไรก็ตาม ข้อมูลชุดนี้สะท้อนเฉพาะสัดส่วนผู้โจมตีในสัปดาห์นั้นแต่ยังไม่สามารถบอกปริมาณที่แท้จริงของคลื่น PHP2Shell ได้ทั้งหมด
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น