Go achomair: De réir a dtuairiscí féin tá rialacha cosanta in aghaidh PHP2Shell gníomhach ag Cloudflare ón 21 Deireadh Fómhair 2026, 03:02 UTC, do chustaiméirí ar an táille saor in aisce freisin. Laghdaíonn na rialacha an riosca do thrácht a ritheann trí Cloudflare. Ní oibríonn siad má tá an bunfhreastalaí inrochtana go díreach, agus ní chuireann siad an nuashonrú PHP ina ionad. An té a úsáideann Cloudflare, ba cheart dó mód na rialach, cosaint an bhunfhreastalaí agus staid an phaiste a sheiceáil.
An cúlra: cosaint fiú roimh an bpaiste
Bhí Cloudflare neamhghnách luath i gcás PHP2Shell. De réir bhlag Cloudflare, bhí na rialacha cosanta ag rith roinnt uaireanta an chloig sular foilsíodh na nuashonruithe PHP go hoifigiúil ag 14:00 UTC. Thuairiscigh Cloudflare freisin go bhfaca sé iarrachtaí ionsaithe ar chustaiméirí, agus gur athraigh ionsaitheoirí a bpatrúin chun na rialacha a sheachbhóthar.
Tháinig go leor oibreoirí ar an tátal: „Táimid taobh thiar de Cloudflare, mar sin táimid cosanta.“ Ní fíor é sin ach go páirteach. Míníonn an t-alt seo cad a chlúdaíonn na rialacha i ndáiríre. Tá meá ghinearálta idir balla dóiteáin agus nuashonrú san alt WAF nó nuashonrú?.
Cad a chuir Cloudflare amach in aghaidh PHP2Shell
Mar atá luaite i mblag Cloudflare, tá trí bhloc ann:
| Táille | Cosaint de réir Cloudflare | Cad ba cheart duit a dhéanamh |
|---|---|---|
| Free | rialacha nua sa Managed Free Ruleset, gníomhach go huathoibríoch | a sheiceáil go ritheann an fearann trí Cloudflare |
| Pro, Business, Enterprise | rialacha oiriúnacha sa Managed Ruleset | a chinntiú go bhfuil an ruleset ar „Block“ |
| gach táille | gnáthriail sa bhalla dóiteáin freagartha nua | ná múch aon rud, breathnaigh ar na himeachtaí |
Tá an tríú bloc nua. Tugann Cloudflare „full transaction detection“ air: breathnaíonn an WAF ní hamháin ar an iarratas ach ar fhreagra an fhreastalaí freisin. An chúis de réir Cloudflare: ní leor an t-iarratas amháin i gcónaí chun ionsaí a idirdhealú go cinnte ó ghnáththrácht. Is é PHP2Shell an chéad úsáid den ghné seo sna rialacha bainistithe.
Teorainneacha rialacha Cloudflare
Chomh cabhrach is atá na rialacha, tá teorainneacha soiléire acu, a ainmníonn Cloudflare féin i bpáirt:
- Trácht trí Cloudflare amháin: Seiceálann na rialacha an méid a shreabhann trí Cloudflare. Má tá an bunfhreastalaí inrochtana go díreach ar a sheoladh IP, is féidir le hionsaitheoir an chosaint a sheachbhóthar.
- Gan cur ar ceal: De réir Cloudflare, is féidir le riail ar thaobh an fhreagra an freagra a choinneáil siar, ach ní féidir léi an méid a tharla ar an bhfreastalaí cheana a chealú.
- Patrúin ionsaithe athraitheacha: Oiriúnaíonn Cloudflare rialacha go leanúnach toisc go n-athraíonn ionsaitheoirí a n-iarratais. Idir leagan nua agus riail nua d'fhéadfadh bearna a bheith ann.
- Ní ionadach don nuashonrú é: Molann Cloudflare go sainráite PHP a nuashonrú in ainneoin an WAF. Ní dhéanann nuashonrú cód feidhmchláir ná breiseán na leochaileachtaí a cheartú ach an oiread.
- Cás speisialta CVE-2026-115560: De réir fhorlíonadh Cloudflare an 23 Deireadh Fómhair, ní théann an riail i bhfeidhm má athraíodh an t-ainm do session upload progress sa chumraíocht. Tuilleadh faoin tuairisc seo ag CVE-2026-115560.
Cad a deir iarratais bhlocáilte agus cad nach ndeir
Féachann go leor custaiméirí ina n-imeachtaí slándála tar éis na tuairisce agus faigheann siad iarratais bhlocáilte ann. Léiríonn sé sin ar dtús go ndearnadh do fhearann a sheiceáil agus gur ghníomhaigh an riail. Ní chruthaítear briseadh isteach leis. Ar an taobh eile, ní comhartha sábháilteachta é liosta folamh imeachtaí: má rith ionsaí go díreach ar an mbunfhreastalaí nó roimh an 21 Deireadh Fómhair, ní fheictear é ag Cloudflare ar chor ar bith.
Is iontaofa an chomparáid le logaí an fhreastalaí gréasáin féin. Iarratais a shroicheann ansin ach nach dtagann ó sheolta Cloudflare, léiríonn siad rochtain dhíreach. Sábháil na logaí seo ón 20 Deireadh Fómhair, mar a mholann an preas teicniúil. Tugann Cloudflare le fios freisin gur féidir le teorainneacha ar uaslódálacha an riosca a laghdú, ach nach gcuireann siad an nuashonrú PHP ina ionad.
Ní hí an riail an laige is coitianta taobh thiar de Cloudflare, ach an bealach timpeall uirthi: bunfhreastalaí a fhreagraíonn go díreach ar a sheoladh IP nó trí fho-fhearann gan chosaint.
Liosta seiceála do chustaiméirí Cloudflare
Is féidir leatsa nó le do sholáthraí seirbhíse na céimeanna seo a dhéanamh go gasta:
- Táille agus mód rialach a sheiceáil: Ar tháillí íoctha, cinntigh sa dashboard go bhfuil an Managed Ruleset gníomhach sa mhód „Block“.
- Féach ar imeachtaí slándála: Seiceáil faoi Security Events an dtagann iarratais bhlocáilte chun solais. Léiríonn sé sin an raibh do chuid fearann ina sprioc cheana.
- Dul trí na hiontrálacha DNS: Is timpeallán féideartha gach iontráil a chuireann in iúl don fhreastalaí gréasáin ach nach ritheann trí Cloudflare. Is gnách iad fo-fhearainn le haghaidh staging, FTP nó ríomhphost ar an bhfreastalaí céanna.
- An bunfhreastalaí a dhúnadh: Cumraigh an freastalaí gréasáin chun HTTP agus HTTPS a ghlacadh ó Cloudflare amháin, mar shampla trí bhalla dóiteáin leis na raon seolta a fhoilsíonn Cloudflare nó trí tholl. Míníonn an t-alt Balla dóiteáin do fhreastalaí gréasáin an chaoi go ginearálta.
- Rochtain dhíreach a thástáil: Seiceáil ón taobh amuigh an bhfreagraíonn an bunfhreastalaí gan Cloudflare.
- PHP a nuashonrú agus a atosú: Is é an dara líne iad na rialacha. Is é an chéad cheann PHP ar staid cheartaithe le hatosú gach próisis PHP.
Do chéim 5 is leor tástáil neamhdhíobhálach nach n-iarrann ach ceanntásca. Is ionadchoinneálaí é an seoladh IP do do bhunfhreastalaí:
# An bhfreagraíonn an bunfhreastalaí go díreach, thar Cloudflare?
curl -sI --resolve www.example.de:443:203.0.113.10 https://www.example.de/
Má thagann freagra rialta ó do shuíomh anseo, tá an bunfhreastalaí inrochtana go díreach agus is féidir an chosaint Cloudflare a sheachbhóthar.
Conas a chabhraíonn PHP SOS go nithiúil?
- Seiceáil cumraíochta: Seiceálaimid mód na rialach, na hiontrálacha DNS agus an rochtain dhíreach ar an mbunfhreastalaí.
- Cosaint an bhunfhreastalaí: Cuirimid srian ar an bhfreastalaí gréasáin do thrácht trí Cloudflare, gan do shuíomh a bhriseadh.
- Paiste agus fianaise: Nuashonraímid PHP, atosaímid gach próiseas agus doiciméadaímid an staid.
- Imeachtaí a mheas: Scrúdaímid iarratais bhlocáilte agus déanaimid comparáid leis na logaí freastalaí.
Déanann WAF agus paistiú fíorúil cur síos ar an gcaoi a gcomhcheanglaímid rialacha WAF agus bearta idirthréimhseacha.
Conclúid
Is buntáiste fíor iad rialacha Cloudflare in aghaidh PHP2Shell, go háirithe toisc go dtáinig siad go luath agus ar an táille saor in aisce freisin. Ach is sciath os comhair an dorais iad, ní glas ar an doras. An té atá taobh thiar de Cloudflare, ba cheart dó trí rud a chinntiú: rialacha sa mhód Block, gan aon bhealach timpeall an seachfhreastalaí agus PHP ar staid cheartaithe.
Ceisteanna coitianta
An bhfuilim cosanta in aghaidh PHP2Shell leis an táille Cloudflare saor in aisce?
De réir Cloudflare faigheann custaiméirí Free na rialacha cosanta go huathoibríoch freisin. Ach ní théann siad i bhfeidhm ach ar thrácht a ritheann trí Cloudflare, agus ní chuireann siad an nuashonrú PHP ar an bhfreastalaí ina ionad. Má tá an bunfhreastalaí inrochtana go díreach, ní oibríonn an chosaint.
Cad is gá dom a shocrú ar tháillí Cloudflare íoctha?
Molann Cloudflare do chustaiméirí ar tháillí Pro, Business agus Enterprise a sheiceáil go bhfuil an Managed Ruleset ag rith sa mhód Block. Má tá sé ar Logáil amháin, taifeadtar ionsaithe ach ní stopaítear iad.
Cad is full transaction detection ann?
Is gné nua de WAF Cloudflare í a bhreathnaíonn ní hamháin ar an iarratas ach ar fhreagra an fhreastalaí freisin. Ar an gcaoi sin is féidir a bhrath an bhfuil éifeacht ag iarracht ionsaithe, agus is féidir an freagra a choinneáil siar. Ní chuireann sí ar ceal, de réir Cloudflare, an méid a rith ar an bhfreastalaí cheana.
An gclúdaíonn Cloudflare CVE-2026-115560 freisin?
Chuir Cloudflare lena alt an 23 Deireadh Fómhair maidir le CVE-2026-115560. De réir Cloudflare, ní théann an riail ghaolmhar i bhfeidhm má athraíodh an t-ainm do session upload progress i gcumraíocht PHP. Neamhspleách air sin, molann php.net session.upload_progress.enabled=0 a shocrú.