Na kratko: Cloudflare ima po lastnih navedbah od 21. oktobra 2026, 03:02 UTC, aktivna zaščitna pravila proti PHP2Shell, tudi za stranke v brezplačnem tarifu. Pravila zmanjšajo tveganje za promet, ki teče prek Cloudflare. Ne delujejo, če je izvorni strežnik neposredno dosegljiv, in posodobitve PHP ne nadomestijo. Kdor uporablja Cloudflare, naj preveri način pravil, zaščito izvora in stanje popravkov.
Povod: zaščita že pred popravkom
Cloudflare je bil pri PHP2Shell nenavadno zgodaj. Po blogu Cloudflare so zaščitna pravila tekla že več ur pred uradno objavo posodobitev PHP ob 14:00 UTC. Cloudflare je poročal tudi, da je pri strankah opazil poskuse napadov in da so napadalci spreminjali svoje vzorce, da bi pravila zaobšli.
Mnogi upravljavci so iz tega sklepali: „Smo za Cloudflare, torej smo zaščiteni.“ To drži le deloma. Ta prispevek pojasnjuje, kaj pravila dejansko pokrivajo. Splošno tehtanje med požarnim zidom in posodobitvijo ponuja prispevek WAF ali posodobitev?.
Kaj je Cloudflare uvedel proti PHP2Shell
Po navedbah v blogu Cloudflare so trije gradniki:
| Tarif | Zaščita po Cloudflare | Kaj naj storite |
|---|---|---|
| Free | nova pravila v Managed Free Ruleset, samodejno aktivna | preverite, da domena teče prek Cloudflare |
| Pro, Business, Enterprise | ustrezna pravila v Managed Ruleset | zagotovite, da je ruleset nastavljen na „Block“ |
| vsi tarifi | standardno pravilo v novem požarnem zidu odgovorov | ničesar ne izklapljajte, opazujte dogodke |
Tretji gradnik je nov. Cloudflare ga imenuje „full transaction detection“: WAF obravnava ne samo zahteve, ampak tudi odgovor strežnika. Razlog po Cloudflare: sama zahteva ne zadošča vedno, da bi napad zanesljivo ločili od običajnega prometa. PHP2Shell je prva uporaba te funkcije v upravljanih pravilih.
Meje pravil Cloudflare
Kakor koli so pravila koristna, imajo jasne meje, ki jih deloma imenuje tudi Cloudflare sam:
- Samo promet prek Cloudflare: Pravila preverjajo, kaj teče skozi Cloudflare. Če je izvorni strežnik neposredno dosegljiv na svojem naslovu IP, lahko napadalec zaščito zaobide.
- Brez razveljavitve: Po Cloudflare lahko pravilo na strani odgovora odgovor zadrži, a ne more razveljaviti tega, kar se je na strežniku že zgodilo.
- Spreminjajoči se vzorci napadov: Cloudflare pravila sproti prilagaja, ker napadalci spreminjajo svoje zahteve. Med novo različico in novim pravilom je lahko vrzel.
- Ni nadomestilo za posodobitev: Cloudflare izrecno priporoča posodobitev PHP kljub WAF. Tudi posodobitev kode aplikacije ali vtičnikov ranljivosti ne odpravi.
- Poseben primer CVE-2026-115560: Po dopolnilu Cloudflare z 23. oktobra pravilo ne deluje, če je bilo ime za session upload progress v konfiguraciji spremenjeno. Več o tem obvestilu pod CVE-2026-115560.
Kaj blokirane zahteve povedo in česa ne
Mnoge stranke po obvestilu pogledajo svoje varnostne dogodke in tam najdejo blokirane zahteve. To zaenkrat pokaže samo, da je bila vaša domena preverjena in da je pravilo zadelo. Vloma to ne dokazuje. Nasprotno prazen seznam dogodkov ni razglasitev odprave nevarnosti: če je napad tekel neposredno na izvorni strežnik ali pred 21. oktobrom, se pri Cloudflare sploh ne pojavi.
Zanesljivejša je primerjava z logi samega spletnega strežnika. Zahteve, ki tam prispejo, a ne izvirajo z naslovov Cloudflare, kažejo na neposreden dostop. Te loge varnostno shranite od 20. oktobra, kot svetuje strokovni tisk. Cloudflare poleg tega opozarja, da omejitve nalaganj lahko zmanjšajo tveganje, a posodobitve PHP ne nadomestijo.
Najpogostejša šibkost za Cloudflare ni pravilo, ampak pot mimo njega: izvorni strežnik, ki odgovarja neposredno na svojem naslovu IP ali prek nezaščitene poddomene.
Kontrolni seznam za stranke Cloudflare
Te korake lahko vi ali vaš izvajalec opravite v kratkem:
- Preverite tarif in način pravil: Pri plačljivih tarifih v nadzorni plošči preverite, da je Managed Ruleset aktiven v načinu „Block“.
- Oglejte si varnostne dogodke: Pod Security Events preverite, ali se pojavljajo blokirane zahteve. To pokaže, ali so bile vaše domene že tarča.
- Preglejte zapise DNS: Vsak zapis, ki kaže na spletni strežnik, a ne teče prek Cloudflare, je možna obvoznica. Tipične so poddomene za staging, FTP ali pošto na istem strežniku.
- Zaprite izvor: Spletni strežnik nastavite tako, da HTTP in HTTPS sprejema samo od Cloudflare, na primer prek požarnega zidu z naslovnimi obsegi, ki jih objavlja Cloudflare, ali prek tunela. Kako to storiti na splošno, opisuje prispevek Požarni zid za spletne strežnike.
- Preizkusite neposredni dostop: Od zunaj preverite, ali izvor odgovarja brez Cloudflare.
- Posodobite PHP in ga znova zaženite: Pravila so druga obrambna črta. Prva je PHP na odpravljenem stanju s ponovnim zagonom vseh procesov PHP.
Za korak 5 zadošča neškodljiv preizkus, ki poizveduje samo po glavah. Naslov IP je nadomestni znak za vaš izvorni strežnik:
# Ali izvorni strežnik odgovarja neposredno, mimo Cloudflare?
curl -sI --resolve www.example.de:443:203.0.113.10 https://www.example.de/
Če tu pride običajen odgovor vaše spletne strani, je izvor neposredno dosegljiv in zaščito Cloudflare je mogoče zaobiti.
Kako konkretno pomaga PHP SOS?
- Pregled konfiguracije: Preverimo način pravil, zapise DNS in neposreden dostop do izvornega strežnika.
- Zavarovanje izvora: Spletni strežnik omejimo na promet prek Cloudflare, ne da bi prekinili vašo spletno stran.
- Popravek in dokazilo: Posodobimo PHP, znova zaženemo vse procese in dokumentiramo stanje.
- Ovrednotenje dogodkov: Pregledamo blokirane zahteve in jih primerjamo z logi strežnika.
Kako združujemo pravila WAF in prehodne ukrepe, opisuje WAF in virtualno popravljanje.
Sklep
Pravila Cloudflare proti PHP2Shell so resnična pridobitev, zlasti ker so prišla zgodaj in tudi v brezplačnem tarifu. So pa ščit pred vrati, ne ključavnica na vratih. Kdor je za Cloudflare, naj zagotovi tri stvari: pravila v načinu Block, nobene poti mimo proxyja in PHP na odpravljenem stanju.
Pogosta vprašanja
Ali sem z brezplačnim tarifom Cloudflare zaščiten pred PHP2Shell?
Po navedbah Cloudflare zaščitna pravila samodejno dobijo tudi stranke v tarifu Free. Delujejo pa samo za promet, ki teče prek Cloudflare, in ne nadomestijo posodobitve PHP na strežniku. Če je izvorni strežnik neposredno dosegljiv, zaščita ne deluje.
Kaj moram nastaviti pri plačljivih tarifih Cloudflare?
Cloudflare strankam s tarifi Pro, Business in Enterprise svetuje, naj preverijo, da Managed Ruleset teče v načinu Block. Če je nastavljen samo na beleženje, se napadi sicer zabeležijo, a ne ustavijo.
Kaj je full transaction detection?
Nova funkcija WAF Cloudflare, ki ne obravnava samo zahteve, ampak tudi odgovor strežnika. Tako je mogoče prepoznati, ali poskus napada učinkuje, odgovor pa se lahko zadrži. Kar je bilo na strežniku že izvedeno, po navedbah Cloudflare ne razveljavi.
Ali Cloudflare pokriva tudi CVE-2026-115560?
Cloudflare je svoj prispevek 23. oktobra dopolnil o CVE-2026-115560. Po navedbah Cloudflare ustrezno pravilo ne deluje, če je bilo ime za session upload progress v konfiguraciji PHP spremenjeno. Neodvisno od tega php.net priporoča nastavitev session.upload_progress.enabled=0.