Cloudflare已在公开披露前为新披露的PHP漏洞部署了默认的Web应用程序防火墙(WAF)保护。这些规则使用请求和响应信号来阻止利用尝试，并防止暴露的数据到达攻击者。今天， Calif.io、Wiz、OpenAI和Quarkslab披露了PHP中的两个漏洞，分别被跟踪为CVE-2026-109618和CVE-2026-109619，并被称为php2shell。
这些漏洞影响运行PHP 5.4或更高版本的所有Web服务器，当应用程序处理巧尽心思构建的HTTP流量时，它们可能允许攻击者导致拒绝服务、远程代码执行和数据暴露。Cloudflare一直是部署缓解措施以保护互联网的协调工作的一部分，与PHP基金会、OpenAI和Wiz等合作。
自2026年10月初以来， Cloudflare已经开发并部署了Web应用程序防火墙（ WAF ）保护，这些保护在公开披露前约9小时部署。从10月21日凌晨3:02 UTC开始，使用我们免费或付费WAF的Cloudflare客户默认受到php2shell的保护。
Cloudflare成功地为所有客户部署了多种缓解措施，同时漏洞在正式发布日期之前泄露，我们观察到针对客户的攻击流量。我们观察到攻击者如何通过跟踪匹配数量并与规则逻辑进行交叉引用来改变攻击负载，试图绕过我们的保护。防范php2shell需要的不仅仅是基于请求的标准规则。
仅请求数据并不总是提供足够的证据来区分漏洞利用与合法流量。来源的响应增加了上下文，有助于确定漏洞利用是否成功，同时降低误报的风险。为了提供这种保护，我们开发了完整的事务检测，这是一种新的Cloudflare WAF功能，它将来自同一HTTP事务中的请求和响应的信号结合起来。