ช่องโหว่ร้ายแรงสองรายการที่เรียกรวมกันว่า “PHP2Shell” กำลังทำให้ภาคคริปโตเร่งตรวจสอบความปลอดภัย โดยนักพัฒนา PHP ออกแพตช์ฉุกเฉินเมื่อวันที่ 21 ตุลาคม ขณะที่ช่องโหว่ได้รับคะแนนความรุนแรง 9.2 จากคะแนนเต็ม 10 ผู้โจมตีอาจเข้าถึงเซิร์ฟเวอร์ที่มีช่องโหว่ได้โดยไม่ต้องใช้รหัสผ่าน ขโมยข้อมูลสำคัญ และอาจยกระดับการโจมตีจนควบคุมเว็บไซต์ได้
ปัญหานี้ไม่ได้จำกัดอยู่เฉพาะอุตสาหกรรมคริปโต Cloudflare ยืนยันว่าพบความพยายามใช้ช่องโหว่ดังกล่าวโจมตีลูกค้าของบริษัทแล้ว ขณะที่เว็บไซต์ของรัฐบาลบางแห่งในยุโรปเคยปิดให้บริการชั่วคราวเพื่อป้องกันความเสี่ยง สำหรับบริการคริปโตที่พึ่งพา PHP ในการจัดการการเข้าสู่ระบบ บริการชำระเงิน หรือระบบหลังบ้าน ความเร็วในการติดตั้งแพตช์จะเป็นปัจจัยสำคัญต่อระยะเวลาที่เซิร์ฟเวอร์เปิดรับการโจมตี
กลไกจัดการหน่วยความจำของ PHP กลายเป็นช่องทางโจมตี
PHP เป็นซอฟต์แวร์ฝั่งเซิร์ฟเวอร์ที่เว็บไซต์จำนวนมากใช้ประมวลผลคำขอเบื้องหลัง เมื่อผู้ใช้เข้าสู่บัญชี ส่งคำขอชำระเงิน หรือเรียกใช้ฟังก์ชันต่าง ๆ ของเว็บไซต์ PHP มักมีบทบาทในการจัดการข้อมูลเหล่านั้น นักวิจัยพบว่าผู้โจมตีสามารถควบคุมวิธีที่ PHP จัดการหน่วยความจำของคอมพิวเตอร์ ทำให้เข้าถึงข้อมูลที่ควรได้รับการปกป้องได้
Wiz Research ระบุว่า หากโจมตีช่องโหว่ได้สำเร็จ ผู้โจมตีอาจเข้าถึงรหัสผ่าน โทเคนยืนยันตัวตน และคีย์ API ข้อมูลรับรองดิจิทัลเหล่านี้ไม่เพียงเชื่อมโยงกับบัญชีบนเว็บไซต์เท่านั้น แต่อาจถูกนำไปใช้เข้าถึงบริการของบุคคลที่สามที่เชื่อมต่ออยู่ด้วย สำหรับเว็บไซต์ที่ดูแลสินทรัพย์ดิจิทัลหรือประมวลผลการชำระเงินด้วยคริปโต การรั่วไหลของข้อมูลรับรองจึงอาจขยายขอบเขตความเสียหายออกไป
เกตเวย์ชำระเงินและแพลตฟอร์มซื้อขายขนาดเล็กต้องเร่งตรวจสอบ
ขณะนี้บริการที่ถูกมองว่าอาจมีระดับการเปิดรับความเสี่ยงสูงกว่าส่วนอื่นแบ่งได้เป็น 3 กลุ่มหลัก กลุ่มแรกคือเกตเวย์ชำระเงินด้วยคริปโต ผู้ค้าที่ใช้การเชื่อมต่อการชำระเงินบน PHP โดยเฉพาะการเชื่อมต่อกับ WooCommerce อาจมีความเสี่ยงหากเซิร์ฟเวอร์ยังไม่ได้รับการอัปเดต Binance Pay, Crypto.com Pay, BitPay, CoinGate และ CoinPayments ต่างมีข้อมูลสาธารณะที่ระบุว่ารองรับการเชื่อมต่อกับ WooCommerce อย่างไรก็ตาม การมีข้อมูลการเชื่อมต่อดังกล่าวไม่ได้หมายความว่าโครงสร้างพื้นฐานของบริษัทเหล่านี้มีช่องโหว่แล้ว
กลุ่มที่สองคือแพลตฟอร์มซื้อขายคริปโตขนาดเล็ก หากหน้าพอร์ทัลบัญชีหรือระบบชำระเงินของแพลตฟอร์มทำงานอยู่บนสภาพแวดล้อม PHP ที่ได้รับผลกระทบ เมื่อเซิร์ฟเวอร์ถูกเจาะ ข้อมูลลูกค้าและข้อมูลรับรองสำคัญอาจถูกเปิดเผยได้ ผู้ให้บริการขนาดเล็กซึ่งโดยทั่วไปอาจมีระบบแยกส่วนและกระบวนการติดตั้งแพตช์ไม่ซับซ้อนเท่ารายใหญ่ ควรตรวจสอบเป็นลำดับแรกว่าเว็บไซต์ ระบบหลังบ้าน และปลั๊กอินจากบุคคลที่สามยังใช้ PHP เวอร์ชันที่ได้รับผลกระทบอยู่หรือไม่
กลุ่มที่สามคือเว็บไซต์ DeFi และกระเป๋าสินทรัพย์ดิจิทัล หากหน้าตาเว็บไซต์ถูกแก้ไข ผู้โจมตีอาจนำผู้ใช้ไปยังที่อยู่กระเป๋าปลอม หรือหลอกให้ผู้ใช้อนุมัติธุรกรรมที่เป็นอันตราย อย่างไรก็ดี ขณะนี้ยังไม่มีหลักฐานที่ผ่านการยืนยันว่าผู้ให้บริการชำระเงินหรือแพลตฟอร์มซื้อขายรายใหญ่ดังกล่าวถูกเจาะผ่าน PHP2Shell แล้ว
บล็อกเชนหลักและคีย์ที่เก็บแบบออฟไลน์ไม่ได้รับผลกระทบโดยตรง
ต้องแยกความเสี่ยงในระดับเว็บไซต์ออกจากความปลอดภัยของสินทรัพย์บนโครงสร้างพื้นฐานบล็อกเชน PHP2Shell มุ่งโจมตีเซิร์ฟเวอร์เว็บไซต์ที่ทำงานด้วย PHP โดยตรง ไม่ได้ส่งผลโดยตรงต่อเครือข่ายบล็อกเชน ตัวสัญญาอัจฉริยะ หรือคีย์ส่วนตัวที่จัดเก็บอย่างปลอดภัยในฮาร์ดแวร์วอลเล็ตแบบออฟไลน์
เช่นเดียวกัน การที่ผลิตภัณฑ์ชำระเงินด้วยคริปโตมีการเชื่อมต่อกับ PHP หรือ WooCommerce ไม่ได้เป็นหลักฐานว่าระบบซื้อขายหลักของบริษัทถูกโจมตีแล้ว ความเสี่ยงที่แท้จริงขึ้นอยู่กับว่าเซิร์ฟเวอร์นั้นใช้ PHP เวอร์ชันที่ได้รับผลกระทบหรือไม่ ติดตั้งแพตช์แล้วหรือยัง และระบบบัญชี อินเทอร์เฟซการชำระเงิน กับฟังก์ชันจัดการหลังบ้านถูกแยกออกจากกันมากน้อยเพียงใด
หากแพลตฟอร์มซื้อขายรายใหญ่ติดตั้งแพตช์อย่างรวดเร็ว หรือแยกโครงสร้างพื้นฐานสำคัญออกจากบริการเว็บไซต์ที่มีช่องโหว่ ระดับการเปิดรับความเสี่ยงก็อาจต่ำกว่า Kraken เคยระบุว่าได้ย้ายระบบหลังบ้านหลักจาก PHP ไปยัง Rust เสร็จสิ้นในปี 2025 ดังนั้น ความเกี่ยวข้องโดยตรงระหว่างระบบหลังบ้านของบริษัทกับช่องโหว่นี้ต้องพิจารณาจากสภาพแวดล้อมการติดตั้งจริง ไม่ควรสรุปจากเพียงเทคโนโลยีที่เว็บไซต์ใช้
ผู้ใช้ไม่สามารถติดตั้งแพตช์ให้เซิร์ฟเวอร์ของแพลตฟอร์มได้เอง
การแก้ไขด้านความปลอดภัยของ PHP ต้องดำเนินการโดยผู้ดูแลเว็บไซต์ ผู้ให้บริการชำระเงิน หรือผู้ให้บริการโครงสร้างพื้นฐานและโฮสติ้ง ผู้ใช้ทั่วไปไม่สามารถติดตั้งแพตช์ลงบนเซิร์ฟเวอร์ของแพลตฟอร์มซื้อขายได้โดยตรง สิ่งที่ผู้ใช้ทำได้คือเฝ้าติดตามประกาศอัปเดตความปลอดภัยจากแพลตฟอร์ม ระมัดระวังการแจ้งเตือนการเข้าสู่ระบบที่ผิดปกติ การแจ้งรีเซ็ตรหัสผ่าน และการแจ้งเปลี่ยนที่อยู่กระเป๋า รวมถึงหลีกเลี่ยงการกรอกรหัสผ่านตลาดซื้อขาย คีย์ API หรือการอนุมัติธุรกรรมที่ไม่รู้จักบนหน้าเว็บน่าสงสัย
ข้อเท็จจริงที่ได้รับการยืนยันในขณะนี้คือ นักพัฒนา PHP ได้ออกแพตช์ฉุกเฉินสำหรับช่องโหว่สองรายการ Cloudflare พบความพยายามใช้ช่องโหว่กับลูกค้า และเว็บไซต์รัฐบาลบางแห่งในยุโรปใช้มาตรการปิดให้บริการชั่วคราว ส่วนแพลตฟอร์มซื้อขาย เกตเวย์ชำระเงิน หรือเว็บไซต์กระเป๋าคริปโตรายใดได้รับผลกระทบหรือไม่ ยังคงขึ้นอยู่กับเวอร์ชันเซิร์ฟเวอร์ สถานะการติดตั้งแพตช์ และมาตรการแยกเครือข่ายของแต่ละราย จึงไม่อาจตัดสินจากการมีระบบเชื่อมต่อกับ PHP เพียงอย่างเดียว