Blog Post

หลายคนเข้าใจว่าเว็บไซต์ก็เหมือนป้ายร้าน ทำเสร็จ ติดตั้งแล้วก็ใช้ไปได้เรื่อย ๆ แต่ความจริงเว็บไซต์ทำงานอยู่บนระบบเบื้องหลังหลายชั้น และในทุกชั้นมีการค้นพบช่องโหว่ใหม่อยู่ตลอด เว็บที่ยังเปิดได้ปกติจึงไม่ได้แปลว่าปลอดภัย มันอาจแค่ยังไม่มีใครลองเจาะเท่านั้น

ระบบเบื้องหลังที่ว่ามีหลายตัว PHP คือภาษาที่อยู่เบื้องหลัง WordPress และเว็บที่ทำด้วย Laravel ส่วน Node.js คือเครื่องยนต์ของเว็บสมัยใหม่หลายแบบ รวมถึงเว็บที่ทำด้วย Next.js อย่างเว็บไซต์ของปลุกใจเอง ทั้งสองตัวมีทีมผู้ดูแลที่คอยออกรุ่นแก้ไขเมื่อพบปัญหาด้านความปลอดภัย หน้าที่ของคนดูแลเว็บคือนำรุ่นที่แก้แล้วมาติดตั้งให้ทันเวลา

ตุลาคม 2569 เป็นตัวอย่างที่ชัดมาก วันที่ 21 ตุลาคม PHP ออกรุ่น 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 เพื่อปิดช่องโหว่ระดับวิกฤต 2 ตัว (CVE-2026-109618 และ CVE-2026-109619) ที่เปิดให้คนภายนอกสั่งรันโค้ดบนเครื่องได้โดยไม่ต้องล็อกอิน และกระทบเว็บ PHP แทบทุกแบบ วันเดียวกัน Node.js ก็ออกรุ่น 22.23.4, 24.22.1 และ 26.12.1 แก้ช่องโหว่ 10 รายการ ตัวที่หนักที่สุดอยู่ในส่วนคลายการบีบอัดไฟล์แบบ Brotli (CVE-2026-111497) ซึ่งอาจถูกใช้เจาะเข้าเครื่องได้เช่นกัน ก่อนหน้านั้นหนึ่งสัปดาห์ Next.js ก็เพิ่งประกาศช่องโหว่ระดับวิกฤตในส่วนย่อขนาดรูปภาพ

สิ่งที่เจ้าของธุรกิจหลายคนไม่รู้คือ เครื่องของรุ่นที่หมดอายุแล้วจะไม่ได้รับการแก้ไขเลย PHP 8.1 ลงไปไม่มีอัปเดตจากทีมผู้พัฒนาอีกแล้ว PHP 8.2 จะหมดอายุวันที่ 31 ธันวาคม 2569 และ Node.js รุ่นที่หมดอายุแล้วอย่างรุ่น 20 ก็ไม่ได้รับการแก้ในรอบนี้ ถ้าเว็บของคุณยังใช้รุ่นเหล่านี้ การรอให้มีอัปเดตจึงไม่ใช่ทางออก ต้องย้ายขึ้นรุ่นที่ยังได้รับการดูแล

ช่องโหว่เหล่านี้ไม่ใช่เรื่องไกลตัว ทุกวันมีบอทอัตโนมัติไล่สแกนเว็บทั่วโลกเพื่อหาเครื่องที่ยังไม่อัปเดต จากบันทึกของเว็บไซต์ที่เราดูแล เราเห็นบอทยิงคำขอที่ออกแบบมาเจาะช่องโหว่ของ Next.js เข้ามาแทบทุกวัน รวมถึงบอทที่วนหาไฟล์รหัสผ่านอย่าง .env หรือคีย์ของระบบคลาวด์ ถ้าเจาะสำเร็จ ผลที่ตามมามีตั้งแต่เว็บถูกฝังลิงก์พนันหรือสแปม ข้อมูลลูกค้าที่กรอกผ่านฟอร์มรั่วไหลซึ่งเป็นความเสี่ยงตาม PDPA ไปจนถึง Google ขึ้นป้ายเตือนว่าเว็บไม่ปลอดภัย

การอัปเดตที่ดีไม่ใช่การกดอัปเดตแล้วหวังว่าจะไม่พัง ควรเริ่มจากตรวจว่าแต่ละเว็บใช้ระบบรุ่นไหน สำรองข้อมูลและไฟล์ก่อนทุกครั้ง ทดสอบรุ่นใหม่บนเครื่องทดสอบ แล้วจึงอัปเดตเครื่องจริงทีละเครื่อง หลังอัปเดตต้องเปิดหน้าสำคัญทุกหน้าตรวจซ้ำ และย้อนดูบันทึกการเข้าใช้งานว่าช่วงก่อนอัปเดตมีความพยายามเจาะสำเร็จหรือไม่ รอบนี้เราไล่อัปเดตเครื่องที่ดูแลภายในไม่กี่วันหลังประกาศ และตรวจบันทึกย้อนหลังของเว็บไซต์ปลุกใจเองแล้วไม่พบร่องรอยการถูกเจาะ

ถ้าคุณมีเว็บไซต์อยู่แล้ว ลองถามทีมที่ดูแลด้วยคำถามง่าย ๆ เหล่านี้ เว็บของเราใช้ PHP หรือ Node.js รุ่นไหน รุ่นนั้นยังได้รับการแก้ไขอยู่หรือไม่ อัปเดตครั้งล่าสุดเมื่อไร มีการสำรองข้อมูลอัตโนมัติไหม และเก็บบันทึกการเข้าใช้งานย้อนหลังได้กี่วัน ถ้าคำตอบคือไม่แน่ใจ นั่นคือสัญญาณว่าถึงเวลาต้องให้ใครสักคนเข้ามาดูแลอย่างจริงจัง

ที่ปลุกใจ งานไม่ได้จบในวันส่งมอบเว็บไซต์ เราติดตามประกาศความปลอดภัย อัปเดตระบบ สำรองข้อมูล และตรวจบันทึกการใช้งานให้กับเว็บที่เราดูแลอย่างต่อเนื่อง ถ้าอยากให้ช่วยตรวจว่าเว็บไซต์ของคุณใช้ระบบรุ่นที่ยังปลอดภัยหรือไม่ ทักมาคุยกับเราได้เลย (อ้างอิงประกาศทางการ: php.net, nodejs.org และ GitHub Security Advisory ของ Next.js)