PHP ออกอัปเดตความปลอดภัย Windows ครั้งที่สองแก้ช่องโหว่ Brotli

PHP ออกอัปเดตแพ็กเกจทางการสำหรับ Windows เป็นครั้งที่สองภายในห้าวัน โดยสร้างแพ็กเกจใหม่สำหรับ PHP 8.2 ถึง 8.5 เพื่อแก้ไขช่องโหว่ CVE-2026-111497 ซึ่งอยู่ในไลบรารีบีบอัด Brotli ที่แพ็กเกจเหล่านี้รวมมาใช้

ช่องโหว่ดังกล่าวอาจเปิดให้ผู้โจมตีทำให้หน่วยความจำเสียหาย และอาจนำไปสู่การรันโค้ดบนระบบที่ได้รับผลกระทบได้ PHP ระบุว่าเส้นทางเข้าถึงปัญหานี้อยู่ในส่วนขยาย cURL เมื่อส่วนขยายดังกล่าวแตกข้อมูลการตอบกลับ HTTP ที่ได้รับกลับมาอัตโนมัติ

อัปเดตครอบคลุม PHP 8.2 ถึง 8.5

PHP สร้างแพ็กเกจ Windows ขึ้นใหม่แทนการจำกัดการแก้ไขไว้ที่รุ่นใดรุ่นหนึ่ง โดยครอบคลุม PHP 8.2 ถึง 8.5 การเปลี่ยนแพ็กเกจที่ได้รับการแก้ไขจึงเป็นส่วนสำคัญของงานปิดช่องโหว่นี้ เพราะไลบรารี Brotli ที่มีปัญหาเป็นองค์ประกอบที่รวมมากับแพ็กเกจ

สำหรับระบบที่ใช้แพ็กเกจทางการของ PHP บน Windows และอยู่ในช่วงเวอร์ชันดังกล่าว ควรตรวจสอบและเปลี่ยนไปใช้แพ็กเกจฉบับที่สร้างใหม่ การอัปเดตเป็นการนำไลบรารี Brotli ที่แก้ไขแล้วมาอยู่ในชุดติดตั้ง ซึ่งสอดคล้องกับขอบเขตของการแก้ไขที่ PHP เปิดเผย

ช่องโหว่อยู่ในไลบรารี Brotli

Brotli ทำหน้าที่จัดการการบีบอัดและแตกข้อมูล เมื่อ cURL ถูกตั้งให้แตกข้อมูลการตอบกลับ HTTP ที่ได้รับกลับมาอัตโนมัติ ข้อมูลจะผ่านกระบวนการของไลบรารีนี้ และช่องโหว่จึงสามารถถูกเข้าถึงในเส้นทางดังกล่าว

PHP เปิดเผยผลกระทบหลักว่าช่องโหว่อาจทำให้หน่วยความจำเสียหาย และอาจเปิดทางให้รันโค้ดบนระบบที่ได้รับผลกระทบ การรันโค้ดเป็นผลลัพธ์ที่อาจเกิดขึ้น ไม่ใช่การยืนยันว่าทุกการติดตั้งจะถูกโจมตีและทำให้เกิดผลร้ายแรงเสมอไป

เส้นทางเข้าถึงผ่านส่วนขยาย cURL

PHP ระบุว่าเส้นทางที่เข้าถึงช่องโหว่ผ่านส่วนขยาย cURL และเกี่ยวข้องกับการแตกข้อมูลการตอบกลับ HTTP ที่ได้รับกลับมาอัตโนมัติ เมื่อการแตกข้อมูลทำงานผ่าน Brotli ระบบจึงเข้าสู่โค้ดของไลบรารีที่มีช่องโหว่ได้

อย่างไรก็ตาม PHP ระบุว่า cURL ปิดตัวเลือกการแตกข้อมูลอัตโนมัติไว้เป็นค่าเริ่มต้น การประเมินความเสี่ยงจึงต้องพิจารณาทั้งการติดตั้งแพ็กเกจและการตั้งค่าของแต่ละระบบ ไม่ควรสรุปว่าทุกระบบเปิดช่องโหว่นี้ได้โดยอัตโนมัติ

ผู้ดูแลที่ใช้คุณสมบัติแตกข้อมูลอัตโนมัติควรตรวจสอบการตั้งค่า cURL และติดตามแพ็กเกจแก้ไขจาก PHP การอัปเดตเป็นมาตรการหลัก ส่วนการตรวจสอบการตั้งค่าช่วยให้เห็นว่าระบบใดมีเส้นทางเข้าถึงช่องโหว่ดังกล่าวอยู่หรือไม่

เหตุใดต้องอัปเดตแพ็กเกจ Windows

ข้อมูลที่ PHP เปิดเผยระบุว่าช่องโหว่ภายในไลบรารี Brotli ที่แพ็กเกจ Windows เหล่านี้รวมมาใช้ จึงจำเป็นต้องแก้ไขชุดติดตั้งที่มีองค์ประกอบดังกล่าว การอัปเดตแพ็กเกจทางการเป็นแนวทางที่ตรงกับขอบเขตของช่องโหว่ที่ PHP แจ้งไว้

ผู้ดูแลระบบควรสำรวจเครื่องที่ทำงานด้วย PHP 8.2 ถึง 8.5 บน Windows แล้วเปลี่ยนไปใช้แพ็กเกจที่ PHP สร้างใหม่ การตรวจสอบเฉพาะชื่อเวอร์ชันอาจไม่เพียงพอ จุดสำคัญคือแพ็กเกจที่ติดตั้งต้องเป็นชุดที่ได้รับการแก้ไข CVE-2026-111497 และควรตรวจสอบการตั้งค่า cURL ควบคู่กัน

สิ่งที่ผู้ใช้ควรทราบ

โดยสรุป ช่องโหว่อยู่ในไลบรารี Brotli ที่รวมมากับแพ็กเกจทางการของ PHP สำหรับ Windows รุ่น 8.2 ถึง 8.5 ตัวระบุคือ CVE-2026-111497 ผลกระทบที่เปิดเผยคือความเสี่ยงต่อหน่วยความจำและการรันโค้ด แม้เส้นทางที่เข้าถึงผ่าน cURL จะเกี่ยวข้องกับการแตกข้อมูลอัตโนมัติ แต่ตัวเลือกนี้ไม่ได้เปิดเป็นค่าเริ่มต้น

การตอบสนองที่ตรงกับปัญหาคือใช้แพ็กเกจ Windows ที่สร้างใหม่ และตรวจสอบให้ชัดว่าแต่ละระบบมีการเปิดการแตกข้อมูลอัตโนมัติหรือไม่ การอัปเดตอย่างเร่งด่วนช่วยลดโอกาสที่ช่องโหว่นี้จะถูกเข้าถึงผ่านส่วนขยายที่เกี่ยวข้อง

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th