Cloudflare 默认启用 php2shell 防护：PHP 5.4 及以上服务器面临风险

据 Cloudflare 于 2026 年 10 月 21 日发布的文章，Calif.io、Wiz、OpenAI 与 Quarkslab 当天披露了两项统称为 php2shell 的 PHP 漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619。来源称，运行 PHP 5.4 或更高版本的 Web 服务器均在影响范围内；应用处理特制 HTTP 流量时，可能遭遇拒绝服务、远程代码执行及数据暴露。Cloudflare 表示，已为使用其免费或付费 WAF 的客户默认部署相关防护。

防护提前上线，披露前已出现攻击流量

Cloudflare 称，其参与了与 PHP 基金会、OpenAI、Wiz 等方面的协调处置，自 2026 年 10 月初开始开发和部署 WAF 防护。按照来源给出的时间线，从 10 月 21 日 UTC 03:02 起，使用其免费或付费 WAF 的客户已默认获得 php2shell 防护，相关措施比公开披露提前约 9 小时上线。

来源还指出，漏洞信息在正式发布前已经泄露，Cloudflare 随后观察到针对客户的攻击流量。攻击者持续修改载荷，尝试绕过防护；Cloudflare 则结合规则匹配量和规则逻辑追踪这些变化。这表明，相关风险并非仅停留在理论讨论层面。

为何需要同时检查请求与响应

Cloudflare 解释，仅凭请求内容，并不总能准确区分漏洞利用与正常访问。为此，其开发了名为“完整事务检测”的 WAF 能力，将同一次 HTTP 事务中的请求与源站响应信号结合分析。响应规则可以在匹配的源站响应返回请求者之前将其拦截。

这一机制的重点，是利用响应补充判断上下文，而非只依赖入口请求特征。据来源介绍，这有助于识别利用是否成功，并降低误报风险。不过，边缘防护不应被理解为服务器端问题已经消失，站点仍需关注 PHP 官方修复及自身部署情况。

跨境账号、支付与远程办公应关注什么

对跨境团队而言，风险落点是使用 PHP 的网站、业务后台或接口，而不是用户身处哪个国家。若相关系统承载账号登录、订单处理或协作入口，拒绝服务可能影响访问可用性，数据暴露和远程代码执行则可能进一步危及业务资料。这些属于漏洞能力对应的潜在影响，并不代表某个海外平台或支付通道已被攻破。

• 站点运营者应盘点 PHP 服务及其暴露入口，确认相关业务流量是否实际经过已启用防护的 WAF。
• 涉及账号与支付的团队，应关注后台异常、接口错误及可疑访问，并核对服务商安全公告。
• 远程办公用户若遇到登录失败或服务不可用，应先核实平台状态，不宜直接归因于本地网络或跨境线路。

此次事件提示，访问工具与服务端安全承担不同职责。VPN 可以用于特定的连接需求，但不能修复 PHP 漏洞，也不能替代 WAF 或源站更新。对依赖海外平台的团队，更实际的做法是持续核实服务商处置进展，同时检查自有业务系统的防护覆盖与修复安排。