Εν ολίγοις: Η Cloudflare έχει, σύμφωνα με δικές της δηλώσεις, ενεργούς από τις 21 Οκτωβρίου 2026, 03:02 UTC, κανόνες προστασίας για το PHP2Shell, και για πελάτες του δωρεάν πακέτου. Οι κανόνες μειώνουν τον κίνδυνο για την κίνηση που περνά μέσω Cloudflare. Δεν λειτουργούν όταν ο διακομιστής προέλευσης είναι άμεσα προσβάσιμος και δεν αντικαθιστούν την ενημέρωση της PHP. Όποιος χρησιμοποιεί Cloudflare πρέπει να ελέγξει τη λειτουργία των κανόνων, την προστασία της προέλευσης και το επίπεδο patch.
Η αφορμή: προστασία ήδη πριν από το patch
Η Cloudflare ήταν στο PHP2Shell ασυνήθιστα νωρίς. Σύμφωνα με το blog της Cloudflare, οι κανόνες προστασίας λειτουργούσαν ήδη αρκετές ώρες πριν από την επίσημη δημοσίευση των ενημερώσεων της PHP στις 14:00 UTC. Η Cloudflare ανέφερε επίσης ότι παρατήρησε απόπειρες επίθεσης σε πελάτες και ότι οι επιτιθέμενοι άλλαζαν τα μοτίβα τους για να παρακάμψουν τους κανόνες.
Πολλοί διαχειριστές συμπέραναν: «Είμαστε πίσω από την Cloudflare, άρα προστατευόμαστε». Αυτό ισχύει μόνο εν μέρει. Το άρθρο αυτό εξηγεί τι καλύπτουν πραγματικά οι κανόνες. Μια γενική στάθμιση ανάμεσα σε firewall και ενημέρωση προσφέρει το άρθρο WAF ή ενημέρωση;.
Τι ενεργοποίησε η Cloudflare για το PHP2Shell
Σύμφωνα με στοιχεία στο blog της Cloudflare υπάρχουν τρία δομικά στοιχεία:
| Πακέτο | Προστασία σύμφωνα με την Cloudflare | Τι πρέπει να κάνετε |
|---|---|---|
| Free | νέοι κανόνες στο Managed Free Ruleset, αυτόματα ενεργοί | ελέγξτε ότι το domain λειτουργεί μέσω Cloudflare |
| Pro, Business, Enterprise | αντίστοιχοι κανόνες στο Managed Ruleset | βεβαιωθείτε ότι το ruleset βρίσκεται σε «Block» |
| όλα τα πακέτα | προεπιλεγμένος κανόνας στο νέο response firewall | μην απενεργοποιήσετε τίποτα, παρακολουθείτε τα συμβάντα |
Το τρίτο στοιχείο είναι νέο. Η Cloudflare το ονομάζει «full transaction detection»: το WAF εξετάζει όχι μόνο το αίτημα αλλά και την απάντηση του διακομιστή. Ο λόγος σύμφωνα με την Cloudflare: το αίτημα μόνο του δεν αρκεί πάντα για να διακρίνει με ασφάλεια μια επίθεση από την κανονική κίνηση. Το PHP2Shell είναι η πρώτη χρήση αυτής της λειτουργίας στους διαχειριζόμενους κανόνες.
Τα όρια των κανόνων της Cloudflare
Όσο χρήσιμοι κι αν είναι οι κανόνες, έχουν σαφή όρια, που εν μέρει τα αναφέρει η ίδια η Cloudflare:
- Μόνο κίνηση μέσω Cloudflare: Οι κανόνες ελέγχουν ό,τι ρέει μέσω Cloudflare. Αν ο διακομιστής προέλευσης είναι άμεσα προσβάσιμος μέσω της διεύθυνσης IP του, ένας επιτιθέμενος μπορεί να παρακάμψει την προστασία.
- Καμία αναίρεση: Σύμφωνα με την Cloudflare, ένας κανόνας στην πλευρά της απάντησης μπορεί να συγκρατήσει την απάντηση, αλλά όχι να αναιρέσει ό,τι έχει ήδη συμβεί στον διακομιστή.
- Μεταβαλλόμενα μοτίβα επίθεσης: Η Cloudflare προσαρμόζει διαρκώς τους κανόνες, επειδή οι επιτιθέμενοι αλλάζουν τα αιτήματά τους. Ανάμεσα σε μια νέα παραλλαγή και έναν νέο κανόνα μπορεί να υπάρχει κενό.
- Όχι υποκατάστατο της ενημέρωσης: Η Cloudflare συνιστά ρητά να ενημερωθεί η PHP παρά το WAF. Ούτε μια ενημέρωση κώδικα εφαρμογής ή plugin διορθώνει τις ευπάθειες.
- Ειδική περίπτωση CVE-2026-115560: Σύμφωνα με τη συμπλήρωση της Cloudflare της 23ης Οκτωβρίου, ο κανόνας δεν ισχύει αν το όνομα για το session upload progress έχει αλλάξει στη διαμόρφωση. Περισσότερα για αυτή την ανακοίνωση στη σελίδα CVE-2026-115560.
Τι δείχνουν τα μπλοκαρισμένα αιτήματα και τι όχι
Πολλοί πελάτες κοιτούν μετά την ανακοίνωση τα συμβάντα ασφαλείας τους και βρίσκουν εκεί μπλοκαρισμένα αιτήματα. Αυτό δείχνει αρχικά μόνο ότι το domain σας ελέγχθηκε και ότι ο κανόνας λειτούργησε. Παραβίαση δεν τεκμηριώνεται με αυτό. Αντίστροφα, μια κενή λίστα συμβάντων δεν είναι καθησύχαση: αν μια επίθεση έγινε απευθείας στον διακομιστή προέλευσης ή πριν από τις 21 Οκτωβρίου, δεν εμφανίζεται καθόλου στην Cloudflare.
Πιο αξιόπιστη είναι η σύγκριση με τα logs του ίδιου του διακομιστή ιστού. Αιτήματα που φτάνουν εκεί αλλά δεν προέρχονται από διευθύνσεις της Cloudflare, υποδεικνύουν άμεση πρόσβαση. Διασώστε αυτά τα logs από τις 20 Οκτωβρίου, όπως συνιστά ο εξειδικευμένος Τύπος. Η Cloudflare επισημαίνει επιπλέον ότι περιορισμοί στις μεταφορτώσεις μπορούν να μειώσουν τον κίνδυνο, δεν αντικαθιστούν όμως την ενημέρωση της PHP.
Το πιο συχνό αδύναμο σημείο πίσω από την Cloudflare δεν είναι ο κανόνας, αλλά ο δρόμος που τον παρακάμπτει: ένας διακομιστής προέλευσης που απαντά απευθείας μέσω της διεύθυνσης IP του ή μέσω ενός μη προστατευμένου υποτομέα.
Λίστα ελέγχου για πελάτες της Cloudflare
Αυτά τα βήματα μπορείτε να τα ολοκληρώσετε εσείς ή ο πάροχος υπηρεσιών σας σύντομα:
- Ελέγξτε πακέτο και λειτουργία κανόνων: Στα επί πληρωμή πακέτα ελέγξτε στο dashboard ότι το Managed Ruleset είναι ενεργό σε λειτουργία «Block».
- Δείτε τα συμβάντα ασφαλείας: Στα Security Events ελέγξτε αν εμφανίζονται μπλοκαρισμένα αιτήματα. Αυτό δείχνει αν τα domain σας ήταν ήδη στόχος.
- Εξετάστε τις εγγραφές DNS: Κάθε εγγραφή που δείχνει στον διακομιστή ιστού αλλά δεν περνά μέσω Cloudflare είναι πιθανή παράκαμψη. Τυπικά είναι οι υποτομείς για staging, FTP ή mail στον ίδιο διακομιστή.
- Απομονώστε την προέλευση: Διαμορφώστε τον διακομιστή ιστού ώστε να δέχεται HTTP και HTTPS μόνο από την Cloudflare, για παράδειγμα μέσω firewall με τις περιοχές διευθύνσεων που δημοσιεύει η Cloudflare ή μέσω tunnel. Πώς γίνεται γενικά, περιγράφει το άρθρο Firewall για διακομιστές ιστού.
- Δοκιμάστε την άμεση πρόσβαση: Ελέγξτε από έξω αν η προέλευση απαντά χωρίς την Cloudflare.
- Ενημερώστε την PHP και κάντε επανεκκίνηση: Οι κανόνες είναι η δεύτερη γραμμή. Η πρώτη είναι η PHP σε διορθωμένο επίπεδο με επανεκκίνηση όλων των διεργασιών PHP.
Για το βήμα 5 αρκεί μια ακίνδυνη δοκιμή που ζητά μόνο τις κεφαλίδες. Η διεύθυνση IP είναι δεσμευτής θέσης για τον διακομιστή προέλευσής σας:
# Απαντά ο διακομιστής προέλευσης απευθείας, παρακάμπτοντας την Cloudflare;
curl -sI --resolve www.example.de:443:203.0.113.10 https://www.example.de/
Αν εδώ έρθει κανονική απάντηση του ιστότοπού σας, η προέλευση είναι άμεσα προσβάσιμη και η προστασία της Cloudflare μπορεί να παρακαμφθεί.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Έλεγχος διαμόρφωσης: Ελέγχουμε τη λειτουργία των κανόνων, τις εγγραφές DNS και την άμεση πρόσβαση στον διακομιστή προέλευσης.
- Θωράκιση της προέλευσης: Περιορίζουμε τον διακομιστή ιστού στην κίνηση μέσω Cloudflare, χωρίς να διακόψουμε τον ιστότοπό σας.
- Patch και απόδειξη: Ενημερώνουμε την PHP, επανεκκινούμε όλες τις διεργασίες και τεκμηριώνουμε την κατάσταση.
- Αξιολόγηση συμβάντων: Εξετάζουμε τα μπλοκαρισμένα αιτήματα και τα συγκρίνουμε με τα logs του διακομιστή.
Πώς συνδυάζουμε κανόνες WAF και προσωρινά μέτρα, περιγράφει η υπηρεσία WAF και εικονικό patching.
Συμπέρασμα
Οι κανόνες της Cloudflare για το PHP2Shell είναι πραγματικό κέρδος, ιδίως επειδή ήρθαν νωρίς και και στο δωρεάν πακέτο. Είναι όμως ασπίδα μπροστά από την πόρτα και όχι κλειδαριά στην πόρτα. Όποιος βρίσκεται πίσω από την Cloudflare, πρέπει να εξασφαλίσει τρία πράγματα: κανόνες σε λειτουργία Block, κανένας δρόμος γύρω από το proxy και PHP σε διορθωμένο επίπεδο.
Συχνές ερωτήσεις
Προστατεύομαι από το PHP2Shell με το δωρεάν πακέτο της Cloudflare;
Σύμφωνα με την Cloudflare, και οι πελάτες του πακέτου Free λαμβάνουν αυτόματα τους κανόνες προστασίας. Λειτουργούν όμως μόνο για την κίνηση που περνά μέσω Cloudflare και δεν αντικαθιστούν την ενημέρωση της PHP στον διακομιστή. Αν ο διακομιστής προέλευσης είναι άμεσα προσβάσιμος, η προστασία δεν ισχύει.
Τι πρέπει να ρυθμίσω στα επί πληρωμή πακέτα της Cloudflare;
Η Cloudflare συνιστά στους πελάτες των πακέτων Pro, Business και Enterprise να ελέγξουν ότι το Managed Ruleset λειτουργεί σε λειτουργία Block. Αν είναι μόνο σε καταγραφή, οι επιθέσεις καταγράφονται μεν, αλλά δεν σταματούν.
Τι είναι το full transaction detection;
Μια νέα λειτουργία του WAF της Cloudflare, που εξετάζει όχι μόνο το αίτημα αλλά και την απάντηση του διακομιστή. Έτσι μπορεί να διαπιστωθεί αν μια απόπειρα επίθεσης έχει αποτέλεσμα και η απάντηση μπορεί να συγκρατηθεί. Ό,τι έχει ήδη εκτελεστεί στον διακομιστή, δεν το αναιρεί, σύμφωνα με την Cloudflare.
Καλύπτει η Cloudflare και την CVE-2026-115560;
Η Cloudflare συμπλήρωσε το άρθρο της στις 23 Οκτωβρίου για την CVE-2026-115560. Σύμφωνα με την Cloudflare, ο αντίστοιχος κανόνας δεν ισχύει αν το όνομα για το session upload progress έχει αλλάξει στη διαμόρφωση της PHP. Ανεξάρτητα από αυτό, το php.net συνιστά να οριστεί session.upload_progress.enabled=0.