Build APM บน Windows: สารบัญ ทำ Apache + PHP 8.4 + MariaDB เอง

พอดีเมื่อวาน (21 ตุลาคม 2026) PHP ออกแพตช์ช่องโหว่ RCE ระดับวิกฤตสองตัว คือ CVE-2026-109618 กับ CVE-2026-109619 หรือชื่อเล่นว่า php2shell คะแนน CVSS 9.2 รุ่นที่แก้แล้วคือ 8.4.27, 8.3.36, 8.2.35 และ 8.5.12 รายละเอียดผมเขียนไว้ในบทความ PHP มีช่องโหว่ RCE ระดับวิกฤตสองตัว อัปเดตด่วนวันนี้ ผมเปิดเครื่อง Windows ที่ใช้เขียนโค้ดขึ้นมาดู ก็เจอว่า XAMPP ที่ลงไว้ยังเป็น PHP 8.2.12, Apache 2.4.58 และ MariaDB 10.4 ทั้งหมดเป็นของปี 2023

ปัญหาไม่ได้อยู่ที่ XAMPP ไม่ดี แต่อยู่ที่ว่าชุดสำเร็จรูปแบบนี้ตามหลัง upstream อยู่เสมอ ผมรอ bundle รุ่นใหม่ไม่ได้ เพราะวันที่ช่องโหว่ออก คือวันที่ผมอยากอัปเดตเครื่องของผมเอง ผมเลยทำ web stack ของตัวเองบน Windows จาก source code ต้นทางทั้งหมด ตั้งชื่อว่า APM (Apache, PHP, MariaDB) แล้วออกแบบให้เวลามี security release ผมแก้เลขเวอร์ชันในไฟล์เดียวชื่อ versions.json แล้วสั่ง build ใหม่ได้ในวันเดียวกัน

ซีรีส์นี้เขียนจากการ build จริงเมื่อ 22 ตุลาคม 2026 บน Windows 11 (i5-12500H, RAM 32 GB) ทุกผลลัพธ์ในซีรีส์เป็นของที่วัดจริง ถ้าตรงไหนผมไม่ได้เก็บ output ไว้ ผมจะบอกว่าให้ตรวจอะไรแทนที่จะเดาตัวอักษรให้

APM คืออะไร และสุดท้ายได้อะไร

APM ไม่ใช่โปรแกรมใหม่ มันคือชุดสคริปต์ PowerShell กับไฟล์ตั้งค่า (เรียกรวมว่า build kit) ที่ดาวน์โหลด source ของแต่ละตัว ตรวจ hash แล้วคอมไพล์ด้วย MSVC ผลที่ได้คือโฟลเดอร์ C:\APM หน้าตาเหมือน XAMPP แต่ทุกอย่างเป็นรุ่นล่าสุดที่เลือกเองและตรวจสอบที่มาได้

PHP ที่ build ได้มี 51 module ตรงกับชุดที่ผมใช้บนเครื่อง production ยกเว้น posix, sysvmsg, sysvsem และ sysvshm ซึ่ง Windows ไม่มี รวม PECL อีกสามตัวคือ redis, igbinary และ imagick PHP ทำงานผ่าน mod_fcgid ไม่ใช่ mod_php ส่วน OpenSSL ฝั่ง Apache เลือกสาย 3.5 LTS ซึ่งได้ซัพพอร์ตถึงเมษายน 2030

เส้นทางของ request หนึ่งครั้งเป็นแบบนี้ และโฟลเดอร์ที่ deploy แล้วอยู่ใต้ C:\APM ตามที่เห็นในผัง

พอร์ตเริ่มต้นเลือก 8080, 8443 และ 3307 เพื่อไม่ชนกับ XAMPP ที่ยังรันอยู่บนเครื่องเดียวกัน (XAMPP ใช้ 80, 443 และ 3306) ใครเลิกใช้ XAMPP แล้วเปลี่ยนเป็นพอร์ตมาตรฐานได้ตอน deploy ซึ่งผมจะอธิบายในตอนที่ 7

ใช้เวลาและพื้นที่เท่าไร

ตัวเลขนี้สำคัญกว่าที่คิด เพราะ build ครั้งแรกกินเวลาหลายชั่วโมง ถ้าเครื่องหลับหรือดิสก์เต็มกลางทางจะเสียเวลาเปล่า ตั้ง power plan ให้เครื่องไม่หลับก่อนเริ่ม และเช็กพื้นที่ว่างก่อน

ดาวน์โหลดและตรวจ build kit

kit เป็นไฟล์ zip ขนาดราว 47 KB (47 ไฟล์) ที่รวมสคริปต์ทั้งหมด versions.json และไฟล์ตั้งค่า ทำตามนี้ในลำดับเดียว

เปิด pwsh ปกติ (ไม่ต้อง admin) แล้วทำทีละข้อ

1. ดาวน์โหลดไฟล์ด้วยคำสั่งในบล็อกถัดไป (หรือเปิด URL ในเบราว์เซอร์แล้วเซฟลงโฟลเดอร์ Downloads ก็ได้)
2. เช็กขนาดไฟล์ ต้องได้ 48142 ไบต์
3. คำนวณ sha256 แล้วเทียบกับค่าที่ผมประกาศไว้ ต้องเป็น True
4. ยังไม่ต้องแตกไฟล์ในตอนนี้ การแตกไฟล์ลง `C:\apm-build` อยู่ในตอนที่ 1 หลังติดตั้งเครื่องมือครบ

curl.exe -L -o "$env:USERPROFILE\Downloads\apm-build-kit.zip" https://linuxthai.org/files/apm-build-kit.zip
(Get-Item "$env:USERPROFILE\Downloads\apm-build-kit.zip").Length
Get-FileHash "$env:USERPROFILE\Downloads\apm-build-kit.zip" -Algorithm SHA256

ผลที่ต้องเห็นคือ ขนาดไฟล์ 48142 และตาราง hash ที่ค่า Hash เป็นตัวพิมพ์ใหญ่ตามนี้

Algorithm       Hash                                                                   Path
---------       ----                                                                   ----
SHA256          24BA604D8EE0F355F14C61C948C616FBDB9F97A0A75FC4955BCC64CD939D6206       C:\Users\<you>\Downloads\apm-build-kit.zip

ถ้าไม่อยากเทียบด้วยตา ให้ PowerShell เทียบให้ (การเทียบสตริงใน PowerShell ไม่สนตัวพิมพ์เล็กใหญ่) ต้องได้ True

(Get-FileHash "$env:USERPROFILE\Downloads\apm-build-kit.zip" -Algorithm SHA256).Hash -eq '24BA604D8EE0F355F14C61C948C616FBDB9F97A0A75FC4955BCC64CD939D6206'

อัปเดต kit 22 ต.ค. 2026 (บ่าย)

สคริปต์ build ต้นทางถูกแก้ต่อหลังเขียนซีรีส์ ผมเลยสร้าง kit ใหม่จากสคริปต์รุ่นล่าสุด ขนาด 48142 ไบต์ 47 ไฟล์ มีไฟล์ใหม่คือ LICENSE (ติดตั้งเป็น C:\APM\LICENSE.txt), scripts\trust-ca.ps1, scripts\new-cert.ps1, scripts\firewall-lan.ps1 และ scripts\set-path.ps1 ส่วน versions.json มี "apm_version": "1.0.0" เป็นคีย์แรก รวม 14 เรื่องที่แก้ แต่ละเรื่องอยู่ในตอนที่ระบุ

ทางลัดสามคำสั่ง สำหรับคนที่เครื่องมือพร้อมแล้ว

ถ้าติดตั้ง Visual Studio Build Tools, Git, CMake, Ninja และ PowerShell 7 ครบแล้ว (ตอนที่ 1 พาทำ) และแตก kit ไว้ที่ C:\apm-build แล้ว ทั้งระบบเหลือสามคำสั่ง ทุกคำสั่งรันใน pwsh ปกติ ไม่ใช้ admin

1. Build ทั้งระบบลงโฟลเดอร์ `stage\` ใช้เวลาประมาณ 2.5 ชั่วโมงในครั้งแรก
2. Deploy ลง `C:\APM` สร้าง config, cert และ data directory โดยยังไม่ start อะไร
3. Start MariaDB กับ Apache แล้วทดสอบด้วย curl

cd C:\apm-build
.\build.cmd

ระหว่าง build สคริปต์พิมพ์สถานะเป็นช่วง ๆ ในรูปแบบนี้ ถ้าเห็น [ERR] ให้หยุดอ่าน log ในโฟลเดอร์ build\logs\ อย่าเพิ่งรันต่อ

==== fetch ====
...
==== fetch done in 0.0 min ====
==== vcpkg ====

ถ้าอยากหยุดหลังขั้นใดขั้นหนึ่ง ใช้ .\build.cmd -To <ขั้น> ได้ ขั้นที่มีคือ fetch vcpkg apache mariadb imagemagick php (ทำต่อทีหลังด้วย -From)

เมื่อ build จบ ต่อด้วย deploy ผลที่ต้องเห็นบรรทัดสุดท้ายคือ [OK] APM deployed to C:\APM (http :8080, https :8443, db :3307) - not started

.\deploy.cmd

จากนั้น start MariaDB แล้ว Apache ผมวัดผลจริงเมื่อ 22 ตุลาคม 2026 ได้ดังนี้ (ตอนที่ 7 อธิบายทีละบรรทัดและวิธีหยุด)

Start-Process C:\APM\mariadb\bin\mariadbd.exe -ArgumentList '--defaults-file=C:\APM\data\mysql\my.ini'
C:\APM\mariadb\bin\mariadb.exe -uroot --port=3307 --protocol=tcp -e "select version(), @@collation_server, @@have_ssl, @@bind_address"
Start-Process C:\APM\apache\bin\httpd.exe
curl.exe -s -o NUL -w "%{http_code} %{content_type}`n" http://127.0.0.1:8080/
curl.exe -sk -o NUL -w "%{http_code}`n" https://localhost:8443/

version()            @@collation_server    @@have_ssl   @@bind_address
11.8.9-MariaDB-log   utf8mb4_unicode_ci    YES          127.0.0.1
200 text/html; charset=UTF-8
200

หน้าแรกของเซิร์ฟเวอร์ที่ http://127.0.0.1:8080/ แสดงเวอร์ชัน PHP 8.4.27 พร้อมสถานะ OPcache JIT เวอร์ชัน MariaDB และรายชื่อ extension ที่โหลดอยู่ ใส่ ?info=1 ต่อท้ายเพื่อดู phpinfo()

สารบัญทั้งซีรีส์

ทุกตอนมีรูปแบบเดียวกัน คือขั้นตอนมีเลขกำกับ บอกว่ารันใน terminal ไหนและโฟลเดอร์ไหน ผลลัพธ์ที่ต้องเห็น วิธีตรวจว่าสำเร็จ ส่วน "ถ้าพังตรงนี้" และเช็กลิสต์ท้ายตอน

ตอนที่ 7 มีส่วนที่ตอบโจทย์ตั้งต้นของซีรีส์โดยตรง คือ เมื่อ PHP ออกรุ่นใหม่ ต้องทำอะไรบ้าง สั้นที่สุดคือ แก้ version, url และ sha256 ของ PHP ใน versions.json แล้วรัน 00-fetch.ps1 -Only php กับ 30-php.ps1 -Step all แล้ว deploy ใหม่ ไม่ต้อง build Apache หรือ MariaDB ซ้ำ

ใครไม่ควรทำแบบนี้

การ build เอง ได้ความเร็วในการอัปเดตกับการรู้ที่มาของทุกไบนารี แต่ต้องจ่ายด้วยเวลา พื้นที่ และความรับผิดชอบดูแลเอง ผมเขียนเปรียบเทียบให้ตรง ๆ

ส่วนตัวผมมองว่า ถ้าเว็บของคุณรันบน Linux เป็นหลัก การมี Windows stack ไว้ทดสอบให้เวอร์ชันตรงกับ production ก็เพียงพอแล้ว ไม่ต้องไล่ทุก patch release ภายในวัน แต่ถ้าเครื่อง Windows เปิดพอร์ตสู่อินเทอร์เน็ต การอัปเดตให้ทันคือเรื่องที่เลื่อนไม่ได้

เรื่องที่ซีรีส์นี้ยังไม่ครอบคลุมคือการติดตั้งเป็น Windows Service และการจัด vhost ผ่านเครื่องมือควบคุมชื่อ apmctl ซึ่งจะแยกเป็นบทความต่างหากภายหลัง ผมไม่ได้ใส่คำสั่งของมันไว้ในที่นี้เพราะยังไม่เสร็จ ตอนนี้ start กับ stop ด้วยมือตามที่เขียนในตอนที่ 7

ถ้าติดขัดตรงไหนของตอนไหน บอกได้เลยว่าเจอ error อะไรและรันคำสั่งอะไรอยู่ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ