Īsi sakot: Cloudflare saskaņā ar saviem datiem no 2026. gada 21. oktobra plkst. 03:02 UTC ir aktivizējis aizsardzības noteikumus pret PHP2Shell, arī klientiem bezmaksas tarifā. Noteikumi samazina risku satiksmei, kas iet caur Cloudflare. Tie nedarbojas, ja izcelsmes serveris ir sasniedzams tieši, un tie neaizstāj PHP atjauninājumu. Kas izmanto Cloudflare, tam jāpārbauda noteikumu režīms, izcelsmes servera aizsardzība un ielāpa stāvoklis.
Sākumpunkts: aizsardzība jau pirms ielāpa
Cloudflare PHP2Shell gadījumā bija neparasti agri. Saskaņā ar Cloudflare emuāru aizsardzības noteikumi darbojās jau vairākas stundas pirms PHP atjauninājumu oficiālās publicēšanas plkst. 14:00 UTC. Cloudflare turklāt ziņoja, ka novērojis uzbrukuma mēģinājumus klientiem un ka uzbrucēji mainījuši savus paraugus, lai noteikumus apietu.
Daudzi operatori no tā secināja: “Mēs esam aiz Cloudflare, tātad esam aizsargāti.” Tas ir pareizi tikai daļēji. Šis raksts izskaidro, ko noteikumi patiesībā aptver. Vispārīgu apsvērumu starp ugunsmūri un atjauninājumu piedāvā raksts WAF vai atjauninājums?.
Ko Cloudflare ir ieviesis pret PHP2Shell
Saskaņā ar Cloudflare emuāru ir trīs elementi:
| Tarifs | Aizsardzība saskaņā ar Cloudflare | Ko jums vajadzētu darīt |
|---|---|---|
| Free | jauni noteikumi Managed Free Ruleset, automātiski aktīvi | pārbaudīt, vai domēns darbojas caur Cloudflare |
| Pro, Business, Enterprise | atbilstoši noteikumi Managed Ruleset | nodrošināt, ka ruleset ir uz “Block” |
| visi tarifi | standarta noteikums jaunajā atbildes ugunsmūrī (Response Firewall) | neko neizslēgt, novērot notikumus |
Trešais elements ir jauns. Cloudflare to sauc par “full transaction detection”: WAF aplūko ne tikai pieprasījumu, bet arī servera atbildi. Iemesls saskaņā ar Cloudflare: pieprasījums vien ne vienmēr ļauj droši atšķirt uzbrukumu no parastas satiksmes. PHP2Shell ir pirmais šīs funkcijas pielietojums pārvaldītajos noteikumos.
Cloudflare noteikumu robežas
Lai cik noderīgi noteikumi ir, tiem ir skaidras robežas, ko daļēji min pats Cloudflare:
- Tikai satiksme caur Cloudflare: Noteikumi pārbauda to, kas plūst caur Cloudflare. Ja izcelsmes serveris ir sasniedzams tieši pēc savas IP adreses, uzbrucējs var aizsardzību apiet.
- Neatceļ jau noticušo: Saskaņā ar Cloudflare atbildes puses noteikums var aizturēt atbildi, bet nevar atcelt to, kas serverī jau noticis.
- Mainīgi uzbrukuma paraugi: Cloudflare noteikumus pastāvīgi pielāgo, jo uzbrucēji maina savus pieprasījumus. Starp jaunu variantu un jaunu noteikumu var būt robs.
- Neaizstāj atjauninājumu: Cloudflare tieši iesaka PHP atjaunināt neskatoties uz WAF. Arī lietojumprogrammas koda vai spraudņu atjauninājums ievainojamības nelabo.
- Īpašs gadījums CVE-2026-115560: Saskaņā ar Cloudflare papildinājumu no 23. oktobra noteikums nedarbojas, ja sesijas augšupielādes progresa nosaukums konfigurācijā ir mainīts. Vairāk par šo paziņojumu sadaļā CVE-2026-115560.
Ko bloķētie pieprasījumi norāda un ko ne
Daudzi klienti pēc paziņojuma skatās savus drošības notikumus un tur atrod bloķētus pieprasījumus. Tas vispirms rāda tikai to, ka jūsu domēns tika pārbaudīts un noteikums ir iedarbojies. Ielaušanās ar to nav pierādīta. Un otrādi, tukšs notikumu saraksts nav atvieglojums: ja uzbrukums noritēja tieši pret izcelsmes serveri vai pirms 21. oktobra, Cloudflare tas nemaz neparādās.
Uzticamāks ir salīdzinājums ar paša tīmekļa servera žurnāliem. Pieprasījumi, kas tur nonāk, bet nenāk no Cloudflare adresēm, norāda uz tiešu piekļuvi. Saglabājiet šos žurnālus no 20. oktobra, kā iesaka speciālā prese. Cloudflare turklāt norāda, ka augšupielāžu ierobežojumi var samazināt risku, bet PHP atjauninājumu neaizstāj.
Biežākā vājā vieta aiz Cloudflare nav noteikums, bet ceļš tam garām: izcelsmes serveris, kas atbild tieši pēc savas IP adreses vai caur neaizsargātu apakšdomēnu.
Pārbaudes saraksts Cloudflare klientiem
Šos soļus varat veikt jūs vai jūsu pakalpojuma sniedzējs īsā laikā:
- Pārbaudīt tarifu un noteikumu režīmu: Maksas tarifos panelī pārbaudīt, vai Managed Ruleset ir aktīvs režīmā “Block”.
- Aplūkot drošības notikumus: Sadaļā Security Events pārbaudīt, vai parādās bloķēti pieprasījumi. Tas rāda, vai jūsu domēni jau bijuši mērķis.
- Pārskatīt DNS ierakstus: Katrs ieraksts, kas norāda uz tīmekļa serveri, bet nedarbojas caur Cloudflare, ir iespējams apkārtceļš. Tipiski ir apakšdomēni testa videi (staging), FTP vai pastam tajā pašā serverī.
- Noslēgt izcelsmi: Tīmekļa serveri konfigurēt tā, lai tas HTTP un HTTPS pieņem tikai no Cloudflare, piemēram, ar ugunsmūri, izmantojot Cloudflare publicētos adrešu diapazonus, vai caur tuneli. Kā tas vispār notiek, apraksta raksts Ugunsmūris tīmekļa serverim.
- Pārbaudīt tiešo piekļuvi: No ārpuses pārbaudīt, vai izcelsme atbild bez Cloudflare.
-
Atjaunināt PHP un pārstartēt: Noteikumi ir otrā līnija. Pirmā ir PHP labotā stāvoklī ar visu PHP procesu pārstartēšanu.
-
solim pietiek ar nekaitīgu testu, kas pieprasa tikai galvenes. IP adrese ir vietturis jūsu izcelsmes serverim:
# Vai izcelsmes serveris atbild tieši, apejot Cloudflare?
curl -sI --resolve www.example.de:443:203.0.113.10 https://www.example.de/
Ja šeit nāk parasta jūsu vietnes atbilde, izcelsme ir sasniedzama tieši un Cloudflare aizsardzību var apiet.
Kā PHP SOS palīdz konkrēti?
- Konfigurācijas pārbaude: Mēs pārbaudām noteikumu režīmu, DNS ierakstus un tiešo piekļuvi izcelsmes serverim.
- Izcelsmes nodrošināšana: Mēs tīmekļa serveri ierobežojam tikai ar satiksmi caur Cloudflare, nepārtraucot jūsu vietnes darbību.
- Ielāps un apliecinājums: Mēs atjauninām PHP, pārstartējam visus procesus un dokumentējam stāvokli.
- Notikumu izvērtēšana: Mēs pārskatām bloķētos pieprasījumus un salīdzinām tos ar serveru žurnāliem.
Kā mēs apvienojam WAF noteikumus un pagaidu pasākumus, apraksta WAF un virtuālā ielāpošana.
Secinājums
Cloudflare noteikumi pret PHP2Shell ir īsts ieguvums, īpaši tāpēc, ka tie parādījās savlaicīgi un arī bezmaksas tarifā. Taču tas ir vairogs pie durvīm, nevis slēdzene durvīs. Kas atrodas aiz Cloudflare, tam jānodrošina trīs lietas: noteikumi Block režīmā, nekāda ceļa garām starpniekserverim un PHP labotā stāvoklī.
Biežāk uzdotie jautājumi
Vai ar bezmaksas Cloudflare tarifu esmu aizsargāts pret PHP2Shell?
Saskaņā ar Cloudflare arī Free klienti aizsardzības noteikumus saņem automātiski. Taču tie darbojas tikai satiksmei, kas iet caur Cloudflare, un neaizstāj PHP atjauninājumu serverī. Ja izcelsmes serveris ir sasniedzams tieši, aizsardzība nedarbojas.
Kas jāiestata maksas Cloudflare tarifos?
Cloudflare klientiem ar Pro, Business un Enterprise tarifu iesaka pārbaudīt, vai Managed Ruleset darbojas režīmā Block. Ja tas ir tikai uz žurnālēšanu, uzbrukumi tiek reģistrēti, bet netiek apturēti.
Kas ir full transaction detection?
Jauna Cloudflare WAF funkcija, kas aplūko ne tikai pieprasījumu, bet arī servera atbildi. Tā var noteikt, vai uzbrukuma mēģinājums ir iedarbojies, un atbildi var aizturēt. Ko serverī jau ir izpildījis, tā saskaņā ar Cloudflare neatceļ.
Vai Cloudflare aptver arī CVE-2026-115560?
Cloudflare 23. oktobrī savu rakstu papildināja par CVE-2026-115560. Saskaņā ar Cloudflare attiecīgais noteikums nedarbojas, ja sesijas augšupielādes progresa nosaukums PHP konfigurācijā ir mainīts. Neatkarīgi no tā php.net iesaka iestatīt session.upload_progress.enabled=0.