CZ ผู้ก่อตั้ง Binance ออกคำเตือนให้ผู้ใช้อินเทอร์เน็ตระมัดระวังในการเข้าเว็บไซต์ต่าง ๆ หลังนักวิจัยพบช่องโหว่ร้ายแรงระดับวิกฤต 2 รายการใน PHP ที่กำลังถูกใช้โจมตีจริง ช่องโหว่ดังกล่าวอาจกระทบเว็บไซต์มากถึง 70% ของทั้งหมด รวมถึงแพลตฟอร์มยอดนิยมอย่าง WordPress และ Magento ทำให้กลายเป็นหนึ่งในเหตุการณ์ด้านความปลอดภัยไซเบอร์ที่ใหญ่ที่สุดของปีนี้ ทั้งในวงการคริปโตและอินเทอร์เน็ตโดยรวม
เกิดอะไรขึ้นจริง ๆ
CZ ผู้ก่อตั้ง Binance โพสต์เตือนเมื่อวันที่ 23 ตุลาคม 2026 ขอให้ผู้ใช้ระมัดระวังในการเข้าเว็บไซต์ช่วงนี้ โดยระบุว่า PHP ซึ่งถูกใช้งานอย่างแพร่หลายใน WordPress และ Magento ได้แก้ไขช่องโหว่ร้ายแรง 2 รายการ คือ CVE-2026-109618 และ CVE-2026-109619 ไปเมื่อวันที่ 21 ตุลาคม 2026 แต่รายละเอียดของช่องโหว่หลุดออกมาก่อนการเปิดเผยอย่างเป็นทางการ ทำให้การโจมตีเริ่มขึ้นแทบจะในทันที ทีมข่าวกรองภัยคุกคามของ Amazon ตรวจพบความพยายามโจมตีตั้งแต่วันที่ 17 ตุลาคม 2026 ก่อนที่แพตช์อย่างเป็นทางการจะออกมาเสียอีก ขณะที่ Palo Alto Networks นับได้ว่ามีระบบที่เสี่ยงต่อการถูกโจมตีมากกว่า 22.6 ล้านระบบทั่วโลก ด้านนักวิจัยจาก Wiz ประเมินว่าช่องโหว่นี้อาจกระทบอินเทอร์เน็ตราว 70% โดยระบุว่าต้นตอของปัญหามีอายุมากกว่าหนึ่งทศวรรษแล้ว Matt Hull จาก NCC Group เตือนว่าบางระบบอาจถูกเจาะและฝังแบ็กดอร์ไปแล้ว ตามรายงานของ WuBlockchain
ที่มาที่ไปของเรื่องนี้
Haseeb Qureshi หุ้นส่วนผู้จัดการของ Dragonfly กล่าวว่าวงการคริปโตกำลังเผชิญคลื่นการแฮ็กก่อนภาคส่วนอื่นของอินเทอร์เน็ต เพราะการโจมตีแบบ on-chain สามารถทำกำไรได้ง่ายและตรงไปตรงมาที่สุด เขาระบุว่าจำนวนการโจมตีเพิ่มขึ้นอย่างมาก แต่ความเสียหายรวมต่อปีกลับใกล้เคียงกับปี 2025 ซึ่งหมายความว่าความเสียหายเฉลี่ยต่อเหตุการณ์ลดลง เนื่องจากโปรโตคอลขนาดใหญ่เริ่มนำระบบป้องกันที่ขับเคลื่อนด้วย AI มาใช้ ด้าน Vitalik Buterin ผู้ร่วมก่อตั้ง Ethereum ตอบโต้ข้อถกเถียงเรื่องการค้นหาช่องโหว่ด้วย AI ว่าเขาไม่เคยคาดหวังว่าฝ่ายป้องกันจะนำหน้าผู้โจมตีได้โดยอัตโนมัติ เขามองว่าความได้เปรียบที่ยั่งยืนต้องอาศัยการเปลี่ยนแปลงเชิงลึกกว่านั้น เช่นการพิสูจน์เชิงรูปนัย (formal verification) พร้อมเรียกร้องให้ใช้งบประมาณมากกว่า 1% ของ GDP ไปกับความปลอดภัยไซเบอร์และความปลอดภัยทางชีวภาพ ตามรายงานของ WuBlockchain
ทำไมเรื่องนี้ถึงสำคัญกับคุณ
สำหรับผู้ใช้คริปโต นี่คือสัญญาณเตือนว่าการแฮ็กส่วนใหญ่ยังคงเริ่มต้นจากโครงสร้างพื้นฐานเว็บทั่วไป ไม่ใช่จากสมาร์ตคอนแทร็กต์ อินเทอร์เฟซกระเป๋าเงิน พอร์ทัลของเอ็กซ์เชนจ์ และหน้าเว็บของ DeFi หลายแห่งทำงานบนระบบที่ใช้ PHP เป็นฐาน เซิร์ฟเวอร์ที่ไม่ได้แพตช์จึงอาจเปิดช่องให้ข้อมูลรับรองหรือ seed phrase รั่วไหลได้ ผู้พัฒนาโปรโตคอลขนาดเล็กมีความเสี่ยงสูงที่สุด เพราะ Qureshi ระบุว่าผู้โจมตีมักเล็งเป้าไปที่โครงการที่มีงบด้านความปลอดภัยต่ำ แพลตฟอร์มขนาดใหญ่ที่เพิ่มระบบตรวจสอบด้วย AI อาจเห็นความเสียหายต่อเหตุการณ์ลดลง แต่ทีมเล็ก ๆ ยังไม่สามารถตามทันได้ ใครก็ตามที่ดูแลเว็บไซต์ส่วนตัว เกตเวย์กระเป๋าเงิน หรือบล็อกของบริษัท ควรตรวจสอบให้แน่ใจว่าได้ติดตั้งแพตช์วันที่ 21 ตุลาคมแล้ว และควรมองปลั๊กอินที่ล้าสมัยว่าเป็นภัยคุกคามที่เกิดขึ้นแล้ว ไม่ใช่ความเสี่ยงในอนาคต
คำถามใหญ่ที่ยังค้างคาใจ
หาก AI สามารถช่วยทั้งฝ่ายโจมตีและฝ่ายป้องกันค้นพบช่องโหว่เดียวกันได้ด้วยความเร็วเท่า ๆ กัน การตรวจจับที่ดีขึ้นจะช่วยลดความเสียหายในโลกจริงได้จริงหรือ หรือมันเพียงแค่เร่งให้ทั้งสองฝ่ายเคลื่อนไหวเร็วขึ้นเท่านั้น ความไม่แน่ใจของ Buterin เองว่าฝ่ายป้องกันจะนำหน้าได้หรือไม่ สะท้อนให้เห็นว่าแม้แต่ผู้เชี่ยวชาญก็ยังไม่รู้แน่ชัดว่าใครจะได้ประโยชน์มากที่สุดจากการแพร่หลายของเครื่องมือเหล่านี้ ทั้งในวงการคริปโตและอินเทอร์เน็ตโดยรวม
สิ่งที่ต้องจับตาต่อไป
ทีมความปลอดภัยจะยังคงติดตามการโจมตีช่องโหว่ CVE-2026-109618 และ CVE-2026-109619 ต่อไปตลอดช่วงที่เหลือของปี 2026 ผู้ดูแลเว็บไซต์ควรตรวจสอบและติดตั้งแพตช์วันที่ 21 ตุลาคมทันที นอกจากนี้ กฎข้อแรกของ OCC ภายใต้ GENIUS Act ว่าด้วยผลตอบแทนของ stablecoin จะมีผลบังคับใช้ในวันที่ 18 มกราคม 2027 ซึ่งเป็นเครื่องเตือนใจว่าเส้นเวลาด้านความปลอดภัยและกฎระเบียบของคริปโตกำลังเดินหน้าไปพร้อมกัน
