เว็บไซต์ของหน่วยงานรัฐบาลและบริษัทจำนวนมากทั่วโลกหยุดให้บริการชั่วคราวในวันพฤหัสบดี (22 ต.ค.) หลัง AI ค้นพบช่องโหว่บกพร่องร้ายแรงที่มีอยู่นานแล้ว ทว่ายังไม่เคยมีใครตรวจเจอมาก่อน เรื่องนี้ส่งผลกระทบต่อเว็บไซต์ 70% บนอินเทอร์เน็ต และถือเป็นหนึ่งในช่องโหว่ที่ร้ายแรงที่สุดเท่าที่เคยค้นพบในภาษาโปรแกรม PHP กระทั่งอาจจะกลายเป็นกรณีร้ายแรงที่สุดในประวัติศาสตร์ของวงการซอฟต์แวร์
ต้นตอของเรื่องนี้มาจากการที่ AI ค้นพบช่องโหว่ร้ายแรงใน PHP ซึ่งเป็นภาษาการเขียนโปรแกรมที่นิยมใช้กันอย่างกว้างขวาง
ซีเอ็นเอ็นรายงานว่า ทีมงานของบริษัทปัญญาประดิษฐ์ (AI) ชื่อดัง OpenAI รวมถึงบริษัทรักษาความปลอดภัยทางไซเบอร์ 2 แห่งคือ Wiz ที่เป็นบริษัทลูกของ Google และ Calif เป็นผู้ค้นพบช่องโหว่ 2 จุดใน PHP
Calif ค้นพบช่องโหว่ดังกล่าวในเดือนส.ค. โดยใช้โมเดล GPT-5.6 Sol ของ OpenAI ซึ่งเป็นส่วนหนึ่งของโครงการตรวจสอบโค้ด PHP ที่ได้รับทุนสนับสนุนจาก OpenAI และหลายสัปดาห์ต่อมา Wiz ค้นพบช่องโหว่ทั้งสองจุดเช่นเดียวกันจากการใช้ Gemini 4 Argon ของ Google, Wiz Atlas และ GPT-5.6 Sol ของ OpenAI
ช่องโหว่เหล่านี้ที่เรียกว่า PHP2Shell อาจช่วยให้ผู้โจมตีสั่งให้ระบบรันโค้ดที่เป็นอันตราย และอ่านข้อมูลในหน่วยความจำของระบบที่อาจมีข้อมูลสำคัญ เช่น รหัสผ่าน
Wiz ประเมินว่า โค้ด PHP มีส่วนช่วยในการทำงานของเว็บไซต์ทั่วโลกประมาณ 70% ตั้งแต่ร้านค้าออนไลน์ สำนักข่าว ไปจนถึงบริการของหน่วยงานภาครัฐ และสำทับว่า ช่องโหว่เหล่านั้นเป็นหนึ่งในช่องโหว่ที่ร้ายแรงที่สุดเท่าที่เคยค้นพบใน PHP และอาจเป็นหนึ่งในช่องโหว่ที่ร้ายแรงที่สุดในประวัติศาสตร์ซอฟต์แวร์
ทั้งสามบริษัทระบุว่า AI มีบทบาทสำคัญมากในการค้นพบช่องโหว่ รวมทั้งช่วยให้นักวิจัยสามารถดำเนินการมาตรการรักษาความปลอดภัยทางไซเบอร์ผ่านแอปพลิเคชันหลายตัวภายในเวลาไม่กี่ชั่วโมง
ทางด้าน OpenAI ระบุบนแพลตฟอร์ม X ว่า ช่องโหว่เหล่านี้เป็นหนึ่งในช่องโหว่ที่ส่งผลกระทบรุนแรงที่สุดในช่วงที่ผ่านมา และการค้นพบนี้ถือเป็นการเข้าสู่เฟสใหม่ที่ AI สามารถค้นหาข้อบกพร่องด้านความปลอดภัยที่ส่งผลกระทบในวงกว้างในระดับอินเทอร์เน็ต
บริษัทเหล่านี้แจ้งเกี่ยวกับการค้นพบช่องโหว่ต่อทีมนักพัฒนาของ PHP เป็นการส่วนตัว และเก็บข้อมูลไว้เป็นความลับในระหว่างการเตรียมแพตช์แก้ไข
ทว่า เมื่อวันอังคาร (20 ต.ค.) รายละเอียดเกี่ยวกับช่องโหว่ได้รั่วไหลออกสู่อินเทอร์เน็ต ก่อนถึงกำหนดเผยแพร่แพตช์อย่างเป็นทางการในวันพุธ (21 ต.ค.) ส่งผลให้องค์กรต่าง ๆ ต้องเร่งนำเว็บไซต์ออกจากระบบก่อนที่แฮกเกอร์จะสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าว
วันพุธ PHP เปิดเผยเรื่องนี้อย่างเป็นทางการ พร้อมปล่อยซอฟต์แวร์เวอร์ชันอัปเดตฉุกเฉินและเรียกร้องให้ผู้ดูแลเว็บไซต์อัปเดตระบบทันที เช่นเดียวกับสำนักงานความมั่นคงแห่งชาติของสหรัฐฯ (NSA) ที่แจ้งเตือนให้องค์กรต่าง ๆ ติดตั้งแพตช์เพื่ออุดช่องโหว่ในเว็บไซต์โดยด่วน หรือระงับการให้บริการระบบที่ยังมีช่องโหว่ชั่วคราว
อนึ่ง มีเพียงเว็บไซต์ที่ใช้งาน PHP บนเซิร์ฟเวอร์เท่านั้นที่ได้รับผลกระทบโดยตรง ขณะที่แพลตฟอร์มขนาดใหญ่หลายแห่งสร้างขึ้นด้วยภาษาโปรแกรมอื่น หรือใช้บริการจากผู้ให้บริการระบบที่สามารถติดตั้งแพตช์แก้ไขช่องโหว่ได้อย่างรวดเร็ว จึงยังคงให้บริการได้ตามปกติ
โวลเกอร์ ดุช วิศวกรด้านความปลอดภัยของ PHP Foundation ซึ่งเป็นองค์กรที่ให้ทุนสนับสนุนนักพัฒนาที่ขับเคลื่อนภาษา PHP ให้สัมภาษณ์กับวอลล์สตรีท เจอร์นัลว่า การค้นพบช่องโหว่ครั้งนี้เป็นปัญหาด้านความปลอดภัยร้ายแรงที่สุดที่ PHP เผชิญมาในรอบกว่าหนึ่งทศวรรษ โดยเทียบได้กับช่องโหว่ Heartbleed ในปี 2014 ซึ่งทำให้ทั่วโลกต้องเร่งติดตั้งแพตช์เพื่อแก้ปัญหา
Cloudflare ผู้ให้บริการโครงสร้างพื้นฐานเว็บ ชี้ว่า ช่องโหว่เหล่านี้อาจเปิดโอกาสให้ผู้โจมตีสั่งให้ระบบรันโค้ดจากระยะไกล รบกวนหรือทำให้บริการหยุดชะงัก และเปิดเผยข้อมูลของลูกค้า
ราฮัต มาซูด อาจารย์อาวุโสด้านความปลอดภัยทางไซเบอร์ของมหาวิทยาลัยนิวเซาท์เวลส์ในซิดนีย์ ระบุว่า ช่องโหว่ที่ค้นพบอาจสร้างความเสียหายร้ายแรงจากการเปิดช่องให้ผู้โจมตีเจาะเข้าสู่เซิร์ฟเวอร์เป้าหมายโดยไม่ต้องได้รับอนุญาต หรือป้อนชื่อผู้ใช้และรหัสผ่าน และเมื่อเข้าไปได้แล้วก็สามารถทำทุกสิ่งที่ต้องการ ตั้งแต่ขโมยข้อมูลอ่อนไหวไปจนถึงแก้ไขเนื้อหาบนเว็บไซต์ มาซูดยังเรียกร้องให้หน่วยงานต่าง ๆ ให้ความสำคัญกับเรื่องนี้อย่างจริงจัง
ทั้งนี้ โมเดล AI ที่มีความสามารถเพิ่มขึ้นอย่างต่อเนื่อง สามารถตรวจพบจุดอ่อนในสคริปต์คอมพิวเตอร์ที่มนุษย์ไม่เคยสังเกตเห็นมานานหลายปี และความสามารถดังกล่าวทำให้เกิดความกังวลมากขึ้นเกี่ยวกับความเสี่ยงด้านความปลอดภัยทางไซเบอร์ โดยจำนวนช่องโหว่ของซอฟต์แวร์ที่ค้นพบทั่วโลกในปีนี้มีแนวโน้มเพิ่มขึ้นเกือบ 2 เท่าของสถิติสูงสุดที่บันทึกไว้เมื่อปีที่แล้ว
เว็บไซต์ของหน่วยงานรัฐบาลในหลายประเทศ ตั้งแต่ออสเตรเลียจนถึงนิวซีแลนด์ เป็นเว็บไซต์ส่วนหนึ่งที่หยุดให้บริการชั่วคราวเมื่อวันพฤหัสฯ (22 ) ขณะที่บริษัทประกันภัย ผู้ให้บริการขนส่ง และสำนักข่าวหลายแห่งเร่งดำเนินการบำรุงรักษาระบบฉุกเฉิน
นายกรัฐมนตรีญี่ปุ่นแนะนำให้ภาคธุรกิจดำเนินมาตรการป้องกันตนเองโดยด่วน ขณะที่รัฐบาลเกาหลีใต้สั่งการให้ฝ่ายเทคโนโลยีขององค์กรต่าง ๆ อัปเดตซอฟต์แวร์เช่นเดียวกัน
ที่ฝรั่งเศส เว็บไซต์ของหน่วยงานปกครองส่วนท้องถิ่นหลายแห่ง รวมถึงเว็บไซต์ของตำรวจปารีส ถูกระงับการเข้าถึงตามคำขอของสำนักงานความปลอดภัยทางไซเบอร์แห่งชาติ
ขณะเดียวกัน มูลนิธิวิกิพีเดีย ที่เป็นผู้ดูแลวิกิพีเดีย เตือนผู้ใช้ว่า อาจพบปัญหาการระงับบริการบนเว็บไซต์ต่าง ๆ ขององค์กรในระหว่างการแก้ไขช่องโหว่ และเสริมว่า มูลนิธิเล็งปิดบริการสนับสนุนระบบหลายส่วนชั่วคราวจนกว่าจะติดตั้งแพตช์ความปลอดภัยเสร็จสิ้น
แม้กระทั่งแอปพลิเคชันยอดนิยมบางแอป เช่น แอปติดตามการนอนหลับในเกมโปเกมอนยังต้องหยุดให้บริการชั่วคราวระหว่างดำเนินการติดตั้งแพตช์แก้ไขช่องโหว่ดังกล่าวเช่นเดียวกัน
ที่มา: เอเอฟพี/ซีเอ็นเอ็น