跳至正文返回首页Cloudflare 在 php2shell 公开前部署 WAF：PHP 5.4+ 受影响，免费与付费用户默认防护
- 漏洞范围：CVE-2026-109618 与 CVE-2026-109619 影响 PHP 5.4 及以上运行时，攻击者可通过特制 HTTP 请求触发内存错误，导致拒绝服务、远程代码执行或数据暴露；PHP 被约 70% 的网站使用，WordPress、Magento 等平台可能受影响。
- 响应时间线：Cloudflare 称自 2026 年 10 月初开发并部署 WAF 防护，较公开披露提前约 9 小时；10 月 21 日 3:02 UTC 起，使用免费或付费 WAF 的客户默认获得防护。披露与处置由 PHP 基金会、OpenAI、Wiz、Quarkslab 等协调推进。
- 技术机制：此次防护需要结合请求与响应判断利用是否成功，Cloudflare 因此上线 full transaction detection，可在同一 HTTP 事务内分析请求与响应，并在响应到达请求方前阻断匹配流量；这是该能力首次用于托管检测规则。
- 行动建议：WAF 只是纵深防御的一层，管理员仍需按 PHP 公告升级运行时；仅更新网站代码或插件不能修复运行时漏洞。Cloudflare 同时观察到攻击流量与载荷变异，建议在 Security Analytics 中按规则 ID 检查拦截事件。
- 行业意义：Web 运行时漏洞的披露与缓解已进入“提前部署、响应侧联合判断”的阶段。对依赖 PHP 的站点与后端服务，WAF 默认生效降低了暴露窗口，但补丁与运行时升级仍是根因处置；对安全团队而言，请求与响应联合检测也意味着规则逻辑从单点匹配转向事务级证据。
🔗 Cloudflare Blog | PHP 公告 | Wiz 分析 | OpenAI 披露
