Lyhyesti: Cloudflaren omien tietojen mukaan sillä on ollut 21. lokakuuta 2026 kello 03.02 UTC alkaen käytössä suojasäännöt PHP2Shelliä vastaan, myös ilmaisen paketin asiakkaille. Säännöt vähentävät riskiä liikenteessä, joka kulkee Cloudflaren kautta. Ne eivät tehoa, jos alkuperäpalvelin on tavoitettavissa suoraan, eivätkä korvaa PHP-päivitystä. Joka käyttää Cloudflarea, tarkistakoon sääntötilan, alkuperäpalvelimen suojauksen ja korjaustilan.
Lähtökohta: suoja jo ennen korjausta
Cloudflare oli PHP2Shellin kohdalla poikkeuksellisen aikaisessa. Cloudflaren blogin mukaan suojasäännöt olivat käytössä useita tunteja ennen PHP-päivitysten virallista julkaisua kello 14.00 UTC. Cloudflare kertoi lisäksi havainneensa hyökkäysyrityksiä asiakkaisiin ja että hyökkääjät muuttivat kuvioitaan kiertääkseen säännöt.
Monet ylläpitäjät päättelivät tästä: ”Olemme Cloudflaren takana, joten olemme suojassa.” Se pitää paikkansa vain osittain. Tämä artikkeli selittää, mitä säännöt todella kattavat. Yleisen punninnan palomuurin ja päivityksen välillä tarjoaa artikkeli WAF vai päivitys?.
Mitä Cloudflare on ottanut käyttöön PHP2Shelliä vastaan
Cloudflaren blogin tietojen mukaan osia on kolme:
| Paketti | Suoja Cloudflaren mukaan | Mitä teidän tulee tehdä |
|---|---|---|
| Free | uudet säännöt Managed Free Rulesetissä, automaattisesti käytössä | tarkistaa, että verkkotunnus kulkee Cloudflaren kautta |
| Pro, Business, Enterprise | sopivat säännöt Managed Rulesetissä | varmistaa, että ruleset on tilassa ”Block” |
| kaikki paketit | oletussääntö uudessa Response-palomuurissa | älkää poistako mitään käytöstä, seuratkaa tapahtumia |
Kolmas osa on uusi. Cloudflare kutsuu sitä nimellä ”full transaction detection”: WAF tarkastelee pyynnön lisäksi myös palvelimen vastausta. Syy Cloudflaren mukaan: pelkkä pyyntö ei aina riitä erottamaan hyökkäystä varmasti tavallisesta liikenteestä. PHP2Shell on tämän toiminnon ensimmäinen käyttö hallinnoiduissa säännöissä.
Cloudflaren sääntöjen rajat
Niin hyödyllisiä kuin säännöt ovatkin, niillä on selvät rajat, jotka Cloudflare osin itsekin mainitsee:
- Vain Cloudflaren kautta kulkeva liikenne: Säännöt tarkastavat sen, mikä kulkee Cloudflaren läpi. Jos alkuperäpalvelin on tavoitettavissa suoraan IP-osoitteellaan, hyökkääjä voi kiertää suojan.
- Ei peruuteta: Cloudflaren mukaan vastauspuolen sääntö voi pidättää vastauksen mutta ei tehdä tekemättömäksi sitä, mitä palvelimella on jo tapahtunut.
- Muuttuvat hyökkäyskuviot: Cloudflare mukauttaa sääntöjä jatkuvasti, koska hyökkääjät muuttavat pyyntöjään. Uuden muunnoksen ja uuden säännön välillä voi olla aukko.
- Ei korvaa päivitystä: Cloudflare suosittelee nimenomaisesti päivittämään PHP:n WAF:sta huolimatta. Myöskään sovelluskoodin tai lisäosien päivitys ei korjaa haavoittuvuuksia.
- Erikoistapaus CVE-2026-115560: Cloudflaren 23. lokakuuta tekemän täydennyksen mukaan sääntö ei tehoa, jos session upload progress -toiminnon nimi on muutettu konfiguraatiossa. Lisää tästä ilmoituksesta kohdassa CVE-2026-115560.
Mitä estetyt pyynnöt kertovat ja mitä eivät
Moni asiakas katsoo ilmoituksen jälkeen tietoturvatapahtumiinsa ja löytää sieltä estettyjä pyyntöjä. Se osoittaa aluksi vain, että verkkotunnustanne on tarkistettu ja sääntö on tehonnut. Murtautumista se ei todista. Toisaalta tyhjä tapahtumaluettelo ei ole hälytyksen purku: jos hyökkäys kohdistui suoraan alkuperäpalvelimelle tai tapahtui ennen 21. lokakuuta, se ei näy Cloudflarella lainkaan.
Luotettavampaa on vertailu itse verkkopalvelimen lokeihin. Pyynnöt, jotka saapuvat sinne mutta eivät ole peräisin Cloudflaren osoitteista, viittaavat suoraan pääsyyn. Tallentakaa nämä lokit 20. lokakuuta alkaen, kuten ammattilehdistö neuvoo. Cloudflare huomauttaa lisäksi, että latausrajoitukset voivat vähentää riskiä mutta eivät korvaa PHP-päivitystä.
Cloudflaren takana yleisin heikkous ei ole sääntö vaan reitti sen ohi: alkuperäpalvelin, joka vastaa suoraan IP-osoitteellaan tai suojaamattoman aliverkkotunnuksen kautta.
Tarkistuslista Cloudflare-asiakkaille
Nämä vaiheet voitte tehdä te tai palveluntarjoajanne lyhyellä varoajalla:
- Tarkistakaa paketti ja sääntötila: Maksullisissa paketeissa tarkistakaa hallintapaneelista, että Managed Ruleset on aktiivinen tilassa ”Block”.
- Katsokaa tietoturvatapahtumat: Tarkistakaa Security Eventsistä, ilmeneekö estettyjä pyyntöjä. Se osoittaa, onko verkkotunnuksenne jo ollut kohteena.
- Käykää DNS-merkinnät läpi: Jokainen merkintä, joka osoittaa verkkopalvelimeen mutta ei kulje Cloudflaren kautta, on mahdollinen kiertotie. Tyypillisiä ovat staging-, FTP- tai sähköpostiaverkkotunnukset samalla palvelimella.
- Eristäkää alkuperäpalvelin: Määrittäkää verkkopalvelin ottamaan HTTP- ja HTTPS-liikennettä vastaan vain Cloudflarelta, esimerkiksi palomuurilla Cloudflaren julkaisemilla osoitealueilla tai tunnelin kautta. Miten se yleisesti tehdään, kuvaa artikkeli Verkkopalvelimen palomuuri.
- Testatkaa suora pääsy: Tarkistakaa ulkoa, vastaako alkuperäpalvelin ilman Cloudflarea.
- Päivittäkää PHP ja käynnistäkää uudelleen: Säännöt ovat toinen puolustuslinja. Ensimmäinen on PHP korjatussa tilassa ja kaikkien PHP-prosessien uudelleenkäynnistys.
Vaiheeseen 5 riittää vaaraton testi, joka kysyy vain otsikkorivit. IP-osoite on paikkamerkki alkuperäpalvelimellenne:
# Vastaako alkuperäpalvelin suoraan, Cloudflaren ohi?
curl -sI --resolve www.example.de:443:203.0.113.10 https://www.example.de/
Jos tästä tulee verkkosivustonne tavallinen vastaus, alkuperä on tavoitettavissa suoraan ja Cloudflaren suoja on kierrettävissä.
Miten PHP SOS auttaa konkreettisesti?
- Konfiguraation tarkistus: Tarkistamme sääntötilan, DNS-merkinnät ja suoran pääsyn alkuperäpalvelimelle.
- Alkuperän suojaus: Rajaamme verkkopalvelimen Cloudflaren kautta kulkevaan liikenteeseen keskeyttämättä verkkosivustoanne.
- Päivitys ja todiste: Päivitämme PHP:n, käynnistämme kaikki prosessit uudelleen ja dokumentoimme tilan.
- Tapahtumien arviointi: Käymme läpi estetyt pyynnöt ja vertaamme niitä palvelinlokeihin.
Miten yhdistämme WAF-säännöt ja väliaikaistoimet, kuvaa WAF ja virtuaalinen päivitys.
Yhteenveto
Cloudflaren säännöt PHP2Shelliä vastaan ovat todellinen etu, erityisesti koska ne tulivat aikaisin ja myös ilmaisessa paketissa. Ne ovat kuitenkin suojakilpi oven edessä, eivät lukko ovessa. Joka on Cloudflaren takana, varmistakoon kolme asiaa: säännöt Block-tilassa, ei reittiä välityspalvelun ohi ja PHP korjatussa tilassa.
Usein kysytyt kysymykset
Olenko suojattu PHP2Shelliltä Cloudflaren ilmaisella paketilla?
Cloudflaren mukaan myös Free-asiakkaat saavat suojasäännöt automaattisesti. Ne vaikuttavat kuitenkin vain liikenteeseen, joka kulkee Cloudflaren kautta, eivätkä korvaa PHP-päivitystä palvelimella. Jos alkuperäpalvelin on tavoitettavissa suoraan, suoja ei tehoa.
Mitä minun on asetettava maksullisissa Cloudflare-paketeissa?
Cloudflare neuvoo Pro-, Business- ja Enterprise-paketin asiakkaita tarkistamaan, että Managed Ruleset toimii Block-tilassa. Jos se on vain lokituksella, hyökkäykset kirjataan mutta niitä ei pysäytetä.
Mikä on full transaction detection?
Cloudflare WAF:n uusi toiminto, joka tarkastelee pyynnön lisäksi myös palvelimen vastausta. Näin voidaan tunnistaa, onko hyökkäysyrityksellä vaikutusta, ja vastaus voidaan pidättää. Mitä palvelimella on jo suoritettu, sitä se ei Cloudflaren mukaan peruuta.
Kattaako Cloudflare myös CVE-2026-115560:n?
Cloudflare täydensi artikkeliaan 23. lokakuuta CVE-2026-115560:n osalta. Cloudflaren mukaan siihen kuuluva sääntö ei tehoa, jos PHP-konfiguraatiossa on muutettu session upload progress -toiminnon nimi. Siitä riippumatta php.net suosittelee asetusta session.upload_progress.enabled=0.