Cloudflare deploys protections against php2shell vulnerability

Cloudflare 部署针对 php2shell 漏洞的防护措施 | Cloudflare 博客

post

漏洞

WAF

托管规则

php

安全

2026年10月21日

Cloudflare 部署针对 php2shell 漏洞的防护措施

Daniele Molteni , Â Dan Jones , Â 和Â Kuber Nandwani

5分钟阅读

复制链接

今天，Calif.io、Wiz、OpenAI 和 Quarkslab 披露了 PHP 中的两个漏洞，跟踪编号为 CVE-2026-109618 和 CVE-2026-109619，该漏洞被称为 php2shell。这些漏洞影响所有运行 PHP 5.4 或更高版本的 Web 服务器，当应用程序处理经过特殊设计的 HTTP 流量时，可能允许攻击者造成拒绝服务、远程代码执行和数据泄露。

Cloudflare 参与了协调努力，以部署缓解措施来保护互联网，与 PHP 基金会、OpenAI 和 Wiz 等机构合作。Cloudflare 自 2026 年 10 月初以来已开发并部署了 Web 应用程序防火墙（WAF）防护措施，这些措施在公共披露前约 9 小时部署。从 UTC 时间 2026 年 10 月 21 日凌晨 3:02 开始，使用我们免费或付费 WAF 的 Cloudflare 客户默认受到 php2shell 的保护。

在漏洞在官方发布日期之前泄露且我们观察到针对客户的攻击流量时，Cloudflare 成功为所有客户部署了多种缓解措施。我们观察到攻击者通过跟踪匹配量并交叉参考规则逻辑来修改攻击负载，试图绕过我们的防护。

针对 php2shell 的防护需要的不仅仅是标准的基于请求的规则。仅凭请求数据并不总是能提供足够的证据来区分利用行为和合法流量。源的响应提供了上下文，有助于识别利用是否成功，同时降低误报的风险。

为了提供这种保护，我们开发了全事务检测，这是 Cloudflare WAF 的一项新功能，它结合了同一 HTTP 事务中请求和响应的信号。响应规则随后可以在响应到达请求者之前阻止匹配的源响应。php2shell 防护是我们首次使用此功能发布的托管检测。

即使 WAF 防护提供了额外的纵深防御缓解层，客户仍应修补其 PHP 存储库。我们的安全分析师继续监控攻击活动，并在接下来的几小时和几天内，如果出现新的技术和变体，将更新规则。您可以在变更日志中跟踪新规则。

这些防护措施在所有部署了 WAF 的计划中自动可用，包括免费用户。

关于漏洞的已知信息

PHP 被近 70% 的网站使用。php2shell 漏洞影响 PHP 运行时本身，可能允许攻击者在易受攻击的服务器上执行恶意代码，泄露客户数据或中断服务。由于 PHP 是 WordPress 和 Magento 等广泛使用平台的基础，这些缺陷可能会对互联网上的大量应用程序产生影响。

这两个漏洞涉及 PHP 在处理 HTTP 请求时出现错误的情况下如何处理内存。通常，PHP 会分配内存来存储处理请求所需的数据，处理完成后释放内存。如果处理过程中意外中断，例如因内存不足而停止，PHP 将无法安全地清理内存。当 PHP 处理错误后尝试使用未完全初始化的数据或已被释放的内存时，就会出现这些漏洞。

攻击者可以发送经过精心设计的 HTTP 请求来触发这些条件。大体积请求是通过内存压力影响服务器的一种方式，但问题的影响范围远不止消耗服务器资源。通过操控 PHP 在无效内存中遇到的数据，攻击者可能能够导致 PHP 进程崩溃、泄露敏感信息或执行攻击者提供的代码。

这两个漏洞的区别在于不安全的内存访问发生的时间：

| 漏洞 | 问题描述 | |------|---------| | CVE-2026-109618 | PHP 内存不足并中断处理，此时部分内部数据尚未正确初始化。在清理该请求时，PHP 可能会将这些未完成的数据当作有效数据使用。 | | CVE-2026-109619 | 致命错误中断请求，导致 PHP 持有对请求结束时会被释放的内存的引用。当同一 PHP 进程处理后续请求时，可能会跟随这些过时的引用访问已失效的内存并泄露敏感数据。 |

这些缺陷存在于 PHP 运行时环境中，因此仅更新网站代码或插件无法修复这些漏洞。管理员需要更新运行应用程序的 PHP 软件。如果托管服务提供商管理 PHP，请要求提供商应用安全更新。

管理员可以参考 PHP 的公告了解受影响版本和修复说明。在修补过程中请保持 Cloudflare WAF 保护功能开启。限制不必要的文件上传并限制上传文件大小也可以降低风险，但这些措施不能替代 PHP 的修复。

新规则

对于免费用户，新规则已发布在 Cloudflare 管理的免费规则集（规则集 ID 77454fe2d30c4220b5701f6fdfb893ba）中。免费用户无需采取任何操作即可启用保护。如需覆盖规则集行为，请参考我们的文档。

| 规则描述 | 规则 ID | |---------|--------| | 通用规则 - 异常执行 - 1 | 4e315666e8e344cdb64119a3b5ccf32f | | 通用规则 - 异常执行 - 2 | 00c10e6cc4da4bd08722adeebcd95984 | | 通用规则 - 异常执行 - 3 | 48ddf592361e4fdb97a8a85982dab691 | | 通用规则 - 异常执行 - 4 | 3556683d512a47f2937899c524b1a4c6 | | 通用规则 - 异常执行 - 5 | da07c85852e34625bb478496302ede46 | | 通用规则 - 异常执行 - 6 | 19373a83abb840e18ab3ce5a7975ce1b | | 通用规则 - 异常执行 - 7 | 07f0b6ddaabf40b1b2042dade8d613fa |

付费计划的防护已作为 Cloudflare 管理规则集（规则集 ID efb7b8c949ac4650a09736fc376e9aee）的一部分发布。如果您使用的是专业版、商业版或企业版计划，请检查您的管理规则集部署情况，确认其已设置为阻断模式。

c1d409ad838f47f59446f21cc438d5dd f9a45927414245e3a64bb12d0a0c2f64 771c654ae1154d4daa72f4e1545d163c 217005865f0145f392300bac212afcc9 38efdb17ea594501bb55a1d71867b12e 4148ae686fdb4d01be673fab9d9c073d 1389aa259617437392ce149c48143645

为了更有效地识别攻击尝试，Cloudflare 开发了完整事务检测功能，这是一种新的 WAF 能力，能够分析同一 HTTP 事务的双方。虽然仅通过请求即可识别某些恶意负载，但响应中包含的信号可用于创建置信度更高的规则，从而减少误报。匹配的完整事务规则可以在响应到达请求方之前将其拦截。了解完整事务检测的工作原理，请参阅我们的技术博客。

以下规则已部署到新的 Cloudflare 托管响应防火墙默认规则集中，适用于所有计划（包括免费版）的客户：

高置信度签名默认拦截规则 afffe22785674c80a31875c848d2242a

注：规则描述将在近期更新。

查看事件并自定义防护

要分析被拦截的请求，请访问 安全 > 安全分析 > 事件。通过上述表格中的规则 ID 进行过滤，可检查匹配的请求、操作和路径。事件会标识操作是来自托管规则还是自定义规则。需要定制防护的客户可以更新 托管规则集的作用范围，仅应用于相关应用部分。

更新 PHP 并保持防护启用

使用 Cloudflare 托管规则集的客户默认已获得保护。我们建议遵循官方建议，尽快将供应商的更新应用到 PHP 代码库，同时保持 WAF 防护启用作为额外保护措施。我们的 WAF 分析团队将持续更新防护规则，以应对新出现的攻击技术。

目录栏 讨论栏

相关标签及社交媒体链接

相关标签

关注社交媒体

• Cloudflare

邮件订阅