Компания Cloudflare развернула правила защиты в своем межсетевом экране (WAF) для нейтрализации двух критических уязвимостей в языке PHP, получивших обозначения CVE-2026-109618 и CVE-2026-109619. Эти бреши, известные как php2shell, позволяют злоумышленникам выполнять удаленный код, вызывать отказ в обслуживании и похищать данные.
Защитные механизмы были активированы 21 октября 2026 года, примерно за девять часов до официального раскрытия информации об уязвимостях. Cloudflare работала над этим в координации с PHP Foundation, OpenAI и Wiz. Компания зафиксировала попытки атак на своих клиентов еще до того, как информация о проблемах стала публичной.
В рамках защиты впервые применена технология Full Transaction Detection, которая анализирует не только входящие запросы, но и ответы сервера для повышения точности фильтрации. Защита включена по умолчанию для всех пользователей WAF, однако владельцам платных тарифов рекомендуется проверить настройки, чтобы правила работали в режиме блокировки.
Cloudflare подчеркивает, что WAF является лишь временным барьером и не заменяет официальные исправления от разработчиков PHP. Администраторам сайтов необходимо как можно скорее установить официальные патчи, так как межсетевой экран не гарантирует защиту от всех возможных вариаций атак в будущем.
