- ในปี 2026 จะมีช่องโหว่ด้านความปลอดภัยร้ายแรงใน PHP อีกหรือไม่?26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
กฎ
ตลาดนี้จะตัดสินผลเป็น "ใช่" หากมีการเปิดเผยช่องโหว่ร้ายแรงใน PHP ต่อสาธารณะเป็นครั้งแรกระหว่างการสร้างตลาดกับ 31 ธันวาคม 2026, 23:59 ET และช่องโหว่นั้นเป็นไปตามข้อกำหนดทั้งหมดด้านล่างภายในกำหนดเวลาดังกล่าว มิฉะนั้น ตลาดนี้จะตัดสินเป็น "ไม่" การเปิดเผยต่อสาธารณะหมายถึงการมีข้อมูลที่สาธารณชนเข้าถึงได้และเพียงพอที่จะระบุช่องโหว่เฉพาะนั้น ไม่ว่าจะผ่านประกาศอย่างเป็นทางการ สิ่งพิมพ์ของนักวิจัย การรั่วไหล หรือการคอมมิตโค้ดสาธารณะ คำเตือนทั่วไปเกี่ยวกับช่องโหว่ที่ไม่ได้ระบุรายละเอียดจะไม่ถือว่าเป็นไปตามข้อกำหนดด้วยตัวมันเอง ช่องโหว่ที่เปิดเผยต่อสาธารณะก่อนการสร้างตลาดจะไม่ถือว่าเป็นไปตามข้อกำหนดเพียงเพราะได้รับตัวระบุ CVE หรือคะแนนที่เข้าเกณฑ์ในช่วงเวลาของตลาด ช่องโหว่ที่เข้าเกณฑ์ต้องส่งผลกระทบต่อตัว PHP เอง (ตัวแปลภาษา PHP และส่วนขยายที่รวมอยู่ในซอร์สโค้ด php-src อย่างเป็นทางการ) ต้องได้รับตัวระบุ CVE ที่เปิดเผยต่อสาธารณะ และต้องได้รับคะแนนฐาน CVSS ที่เผยแพร่ต่อสาธารณะตั้งแต่ 9.0 ขึ้นไป (ไม่ว่าใช้ CVSS เวอร์ชันใด) จากโครงการ PHP หรือ US National Vulnerability Database (NVD) ช่องโหว่ที่ส่งผลกระทบเฉพาะ PHP เวอร์ชันที่ไม่ได้รับการสนับสนุนหรือส่วนขยายเสริมที่รวมมา จะเข้าเกณฑ์หากเป็นไปตามข้อกำหนดอื่นๆ ส่วนขยายที่แจกจ่ายแยกจาก php-src (เช่น ผ่าน PECL) จะไม่เข้าเกณฑ์ คะแนนที่เข้าเกณฑ์จากแหล่งใดแหล่งหนึ่งก็เพียงพอ โดยไม่คำนึงถึงคะแนนที่ต่ำกว่าจากอีกแหล่งหนึ่งหรือจาก CVSS เวอร์ชันอื่น จะนับเฉพาะคะแนนที่เผยแพร่โดย NVD เอง (ระบุว่าเป็นของ NIST) หรือโดยโครงการ PHP เท่านั้น คะแนนที่ NVD แสดงแต่ระบุว่าเป็นขององค์กรอื่นจะไม่เข้าเกณฑ์ เมื่อเป็นไปตามข้อกำหนดทั้งหมดในช่วงเวลาของตลาดแล้ว การแก้ไขคะแนนในภายหลังจะไม่ส่งผลต่อการตัดสินผล CVE-2026-109618 และ CVE-2026-109619 ("PHP2Shell") จะไม่เข้าเกณฑ์ ช่องโหว่ในซอฟต์แวร์ของบุคคลที่สามที่เขียนด้วย PHP หรือทำงานบน PHP (เช่น WordPress, Laravel, Drupal, ปลั๊กอิน หรือเฟรมเวิร์กและไลบรารีอื่นๆ) จะไม่เข้าเกณฑ์ แหล่งข้อมูลหลักสำหรับการตัดสินผลตลาดนี้คือข้อมูลอย่างเป็นทางการจากโครงการ PHP (รวมถึง php.net และประกาศด้านความปลอดภัยของ php-src บน GitHub) และ NVD (https://nvd.nist.gov); อย่างไรก็ตาม อาจใช้ข้อสรุปร่วมกันจากรายงานที่น่าเชื่อถือได้ด้วย
แปลด้วยเครื่อง หากมีข้อโต้แย้ง ให้ยึดต้นฉบับเป็นหลัก