Lühidalt: Cloudflare'i enda andmetel on alates 21. oktoobrist 2026, 03:02 UTC aktiivsed kaitsereeglid PHP2Shelli vastu, ka tasuta paketi klientidele. Reeglid vähendavad riski Cloudflare'i kaudu käiva liikluse puhul. Need ei toimi, kui origin-server on otse kättesaadav, ja need ei asenda PHP uuendust. Kes Cloudflare'i kasutab, peaks kontrollima reeglirežiimi, origini kaitset ja paigatud seisu.
Lähtepunkt: kaitse juba enne paika
Cloudflare oli PHP2Shelli puhul ebatavaliselt vara valmis. Cloudflare'i blogi järgi olid kaitsereeglid aktiivsed mitu tundi enne PHP uuenduste ametlikku avaldamist kell 14:00 UTC. Cloudflare teatas ka, et on täheldanud rünnakukatseid klientide vastu ja et ründajad muutsid oma mustreid, et reeglitest mööda pääseda.
Paljud käitajad järeldasid sellest: „Me oleme Cloudflare'i taga, seega oleme kaitstud.“ See kehtib ainult osaliselt. See artikkel selgitab, mida reeglid tegelikult katavad. Üldist kaalutlust tulemüüri ja uuenduse vahel pakub artikkel WAF või uuendus?.
Mida Cloudflare PHP2Shelli vastu kasutusele võttis
Cloudflare'i blogi andmetel on kolm osa:
| Pakett | Kaitse Cloudflare'i andmetel | Mida peaksite tegema |
|---|---|---|
| Free | uued reeglid Managed Free Rulesetis, automaatselt aktiivsed | kontrollida, et domeen töötab Cloudflare'i kaudu |
| Pro, Business, Enterprise | sobivad reeglid Managed Rulesetis | tagada, et Ruleset on seatud „Block“ |
| kõik paketid | vaikereegel uues Response-tulemüüris | mitte midagi välja lülitada, sündmusi jälgida |
Kolmas osa on uus. Cloudflare nimetab seda „full transaction detection“: WAF vaatab lisaks päringule ka serveri vastust. Põhjus Cloudflare'i andmetel: päringust üksi ei piisa alati, et rünnakut normaalsest liiklusest kindlalt eristada. PHP2Shell on selle funktsiooni esimene kasutus hallatavates reeglites.
Cloudflare'i reeglite piirid
Nii kasulikud kui reeglid on, neil on selged piirid, mida Cloudflare osaliselt ise nimetab:
- Ainult Cloudflare'i kaudu käiv liiklus: Reeglid kontrollivad seda, mis läbi Cloudflare'i liigub. Kui origin-server on oma IP-aadressil otse kättesaadav, saab ründaja kaitsest mööda minna.
- Tagasivõtmist ei ole: Cloudflare'i andmetel saab vastusepoolne reegel vastuse tagasi hoida, kuid mitte tagasi võtta seda, mis serveris juba juhtunud on.
- Muutuvad ründemustrid: Cloudflare kohandab reegleid jooksvalt, sest ründajad muudavad oma päringuid. Uue variandi ja uue reegli vahel võib olla tühimik.
- Uuenduse asendaja ei ole: Cloudflare soovitab selgesõnaliselt PHP-d WAF-ist hoolimata uuendada. Ka rakenduse koodi või pluginate uuendus turvauksi ei kõrvalda.
- Erijuhtum CVE-2026-115560: Cloudflare'i 23. oktoobri täienduse kohaselt ei rakendu reegel, kui Session-Upload-Progressi nimi seadistuses on muudetud. Rohkem selle teate kohta lehel CVE-2026-115560.
Mida blokeeritud päringud ütlevad ja mida mitte
Paljud kliendid vaatavad pärast teadet oma turvasündmusi ja leiavad sealt blokeeritud päringuid. See näitab esmalt vaid, et teie domeeni on kontrollitud ja reegel rakendus. Sissemurdmist see ei tõenda. Teisalt ei ole tühi sündmuste loend vabastus: kui rünnak käis otse origin-serverile või enne 21. oktoobrit, ei ilmu see Cloudflare'is üldse.
Usaldusväärsem on võrdlus veebiserveri enda logidega. Päringud, mis sinna jõuavad, kuid ei pärine Cloudflare'i aadressidelt, viitavad otsesele ligipääsule. Kindlustage need logid alates 20. oktoobrist, nagu erialaajakirjandus soovitab. Cloudflare juhib lisaks tähelepanu, et üleslaadimiste piirangud võivad riski vähendada, kuid PHP uuendust ei asenda.
Cloudflare'i taga kõige sagedasem nõrkus ei ole reegel, vaid sellest mööda viiv tee: origin-server, mis vastab oma IP-aadressil või kaitsmata alamdomeeni kaudu otse.
Kontrollnimekiri Cloudflare'i klientidele
Neid samme saate teie või teie teenusepakkuja lühikese aja jooksul teha:
- Kontrollige paketti ja reeglirežiimi: Tasuliste pakettide puhul kontrollige juhtpaneelil, et Managed Ruleset on aktiivne režiimis „Block“.
- Vaadake turvasündmusi: Kontrollige Security Events all, kas ilmub blokeeritud päringuid. See näitab, kas teie domeenid on juba sihtmärgiks olnud.
- Vaadake DNS-kirjed läbi: Iga kirje, mis osutab veebiserverile, kuid ei käi läbi Cloudflare'i, on võimalik kõrvalteetee. Tüüpilised on staging-, FTP- või e-posti alamdomeenid samas serveris.
- Sulgege origin: Seadistage veebiserver nii, et see võtab HTTP ja HTTPS vastu ainult Cloudflare'ilt, näiteks tulemüüriga Cloudflare'i avaldatud aadressivahemikest või tunneli kaudu. Kuidas see üldiselt käib, kirjeldab artikkel Veebiserveri tulemüür.
- Testige otsest ligipääsu: Kontrollige väljastpoolt, kas origin vastab ilma Cloudflare'ita.
-
Uuendage PHP ja käivitage uuesti: Reeglid on teine liin. Esimene on PHP parandatud seisus koos kõigi PHP protsesside taaskäivitusega.
-
sammuks piisab kahjutust testist, mis pärib ainult päisepäid. IP-aadress on kohatäide teie origin-serveri jaoks:
# Kas origin-server vastab otse, Cloudflare'ist mööda?
curl -sI --resolve www.example.de:443:203.0.113.10 https://www.example.de/
Kui siin tuleb teie veebisaidi tavaline vastus, on origin otse kättesaadav ja Cloudflare'i kaitsest saab mööda minna.
Kuidas PHP SOS konkreetselt aitab?
- Seadistuse kontroll: Kontrollime reeglirežiimi, DNS-kirjeid ja otsest ligipääsu origin-serverile.
- Origini kaitsmine: Piirame veebiserveri Cloudflare'i kaudu käiva liiklusega, ilma teie veebisaiti katkestamata.
- Paik ja tõend: Uuendame PHP, käivitame kõik protsessid uuesti ja dokumenteerime seisu.
- Sündmuste analüüs: Vaatame blokeeritud päringud üle ja võrdleme neid serverilogidega.
Kuidas WAF-i reegleid ja ajutisi meetmeid ühendame, kirjeldab WAF ja virtuaalne paikamine.
Kokkuvõte
Cloudflare'i reeglid PHP2Shelli vastu on tõeline võit, eriti seetõttu, et need tulid vara ja ka tasuta paketis. Need on aga kilp ukse ees, mitte lukk uksel. Kes asub Cloudflare'i taga, peaks tagama kolm asja: reeglid Block-režiimis, ükski tee puhverserverist mööda ja PHP parandatud seisus.
Korduma kippuvad küsimused
Kas olen tasuta Cloudflare'i paketiga PHP2Shelli vastu kaitstud?
Cloudflare'i andmetel saavad ka Free-kliendid kaitsereeglid automaatselt. Need toimivad aga ainult Cloudflare'i kaudu käiva liikluse puhul ega asenda PHP uuendust serveris. Kui origin-server on otse kättesaadav, kaitse ei rakendu.
Mida pean tasuliste Cloudflare'i pakettide puhul seadistama?
Cloudflare soovitab Pro-, Business- ja Enterprise-paketi klientidel kontrollida, et Managed Ruleset töötab režiimis Block. Kui see on seatud ainult logimisele, rünnakud küll registreeritakse, kuid neid ei peatata.
Mis on full transaction detection?
Cloudflare WAF-i uus funktsioon, mis vaatab lisaks päringule ka serveri vastust. Nii saab tuvastada, kas rünnakukatse mõjub, ja vastuse saab tagasi hoida. Mida server on juba täitnud, seda see Cloudflare'i andmetel tagasi ei võta.
Kas Cloudflare katab ka CVE-2026-115560?
Cloudflare täiendas 23. oktoobril oma artiklit CVE-2026-115560 kohta. Cloudflare'i andmetel ei rakendu vastav reegel, kui Session-Upload-Progressi nimi PHP seadistuses on muudetud. Sellest sõltumata soovitab php.net seada session.upload_progress.enabled=0.