Cloudflare 部署针对 php2shell 漏洞的防护措施

Cloudflare 已针对 PHP 的两个漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 php2shell）部署 WAF 防护，比公开披露提前约 9 小时上线，10 月 21 日 3:02 UTC 起免费和付费 WAF 客户默认受保护。漏洞由 Calif.io、Wiz、OpenAI 和 Quarkslab 披露，影响运行 PHP 5.4 及以上版本的 Web 服务器，可导致拒绝服务、远程代码执行和数据泄露，根源是 PHP 处理 HTTP 请求出错时的内存安全问题。漏洞在正式披露前泄露，Cloudflare 观测到针对客户的攻击流量以及攻击者变换载荷绕过防护的尝试。由于缺陷在 PHP 运行时本身，仅更新网站代码或插件无法修复，管理员需更新 PHP 软件并保持 WAF 防护启用。