Cloudflare部署针对php2shell漏洞的防护措施
内容提要
Cloudflare披露PHP运行时高危漏洞php2shell（CVE-2026-109618、CVE-2026-109619），影响PHP 5.4及以上版本，可导致拒绝服务、远程代码执行和数据泄露。Cloudflare提前约9小时部署WAF防护，免费及付费用户默认受保护，并推出结合请求与响应信号的“完整事务检测”以降低误报。官方建议用户尽快更新PHP并保持WAF防护开启。
延伸解读
漏洞根源在PHP运行时，更新代码或插件无效
文章明确指出，php2shell漏洞位于PHP运行时本身，而非网站代码或插件。因此，仅更新WordPress主题、插件或应用代码无法修复。管理员必须更新服务器上的PHP软件；若使用托管主机，应联系提供商应用安全补丁。这提醒读者，修复责任在PHP运行环境层面，需确认实际运行的PHP版本并推动相应更新。
WAF防护默认开启，但补丁仍是根本
Cloudflare在公开披露前约9小时部署了WAF规则，免费和付费用户默认受保护，无需手动操作。但文章强调，WAF只是纵深防御的附加层，不能替代PHP补丁。用户应尽快按照PHP公告修复受影响版本，同时保持WAF开启。对于付费计划用户，还需检查Managed Ruleset是否处于阻止模式，以免防护未生效。
完整事务检测降低误报，但依赖响应信号
针对php2shell，Cloudflare推出了“完整事务检测”，同时分析同一HTTP事务的请求和响应，利用响应信号判断攻击是否成功，从而减少误报。这是该能力的首次托管规则应用。读者需注意，这种检测依赖源站响应，若源站行为异常或响应被修改，可能影响检测效果。同时，规则会持续更新以应对攻击变异，用户应关注变更日志。
攻击者已尝试绕过，需持续监控与限制上传
文章披露，漏洞在正式发布前已泄露，Cloudflare观察到针对客户的攻击流量，且攻击者正变异攻击载荷以绕过防护。这表明风险真实存在且动态变化。除打补丁和保持WAF外，管理员可限制不必要的上传并限制上传大小，以降低暴露面，但这些措施不能替代PHP修复。建议通过安全分析事件筛选相关规则ID，审查拦截情况并按需调整规则范围。
Q&A
php2shell漏洞是什么？影响哪些PHP版本？
php2shell是PHP运行时中的两个高危漏洞（CVE-2026-109618和CVE-2026-109619），影响所有运行PHP 5.4及以上版本的Web服务器。攻击者可通过特制HTTP请求导致拒绝服务、远程代码执行和数据泄露。
Cloudflare针对php2shell部署了哪些防护措施？
Cloudflare提前约9小时部署了WAF防护规则，免费和付费用户默认受保护。还推出了“完整事务检测”功能，结合请求和响应信号来降低误报，并阻止恶意响应到达用户。
php2shell漏洞的成因是什么？
漏洞源于PHP处理HTTP请求时内存管理不当：当处理意外中断（如内存不足或致命错误）时，PHP未能安全清理内存，后续可能使用未初始化或已释放的内存，导致攻击者利用。
免费Cloudflare用户是否受php2shell防护保护？需要做什么？
是的，免费用户默认受保护，无需任何操作。新规则已发布在Cloudflare Managed Free Ruleset（规则集ID 77454fe2d30c4220b5701f6fdfb893ba）中，自动生效。
除了WAF防护，用户还应采取什么措施来应对php2shell？
用户应尽快更新PHP软件到安全版本，因为WAF只是深度防御的附加层。如果托管提供商管理PHP，应联系提供商应用安全更新。同时保持WAF防护开启，并限制不必要的上传和上传大小以减少暴露。
如何查看Cloudflare WAF是否拦截了php2shell攻击？
登录Cloudflare仪表盘，进入Security > Security Analytics > Events，按规则ID过滤（如免费规则集ID或付费规则集ID），检查匹配的请求、动作和路径，以确认拦截情况。
