PHP2Shell und Cloudflare: Was die WAF blockiert und was Sie trotzdem tun müssen

Schützt Cloudflare meine Website vor PHP2Shell?

Teilweise. Cloudflare hat WAF-Regeln gegen PHP2Shell (CVE-2026-109618 und CVE-2026-109619) am 21. Oktober 2026 um 03:02 Uhr UTC ausgerollt, etwa neun Stunden vor der öffentlichen Bekanntgabe. Die Regeln blockieren bekannte Angriffsmuster in Verkehr, der über Cloudflare läuft. Am verwundbaren PHP auf Ihrem Server ändern sie nichts, und Cloudflare selbst nennt das PHP-Update als eigentlichen Fix.

Cloudflare berichtete außerdem, Angriffsverkehr gegen seine Kunden beobachtet zu haben, und dass Angreifer ihre Payloads veränderten, um die Regeln zu umgehen. Dane Knecht von Cloudflare schrieb, dass laufend neue Regeln im WAF-Changelog landeten, sobald Varianten auftauchten.

Welche Cloudflare-Tarife erhalten die PHP2Shell-Regeln?

Alle, einschließlich Free. Die Regeln stecken in zwei verwalteten Regelsätzen:

Beide Regelsätze erhielten am 21. Oktober 2026 sieben Notfallregeln mit dem Namen „Generic Rules - Anomalous Execution“, eingestellt auf Blockieren. Zusätzlich hat Cloudflare seiner neuen verwalteten Response-Firewall, die in allen Tarifen verfügbar ist, eine Regel auf Antwortseite hinzugefügt.

Was ist Cloudflares „Full Transaction Detection“?

Eine neue WAF-Funktion, die Cloudflare für PHP2Shell veröffentlicht hat. Die WAF betrachtet die Anfrage und die Antwort Ihres Servers gemeinsam, und eine Response-Regel kann eine passende Antwort blockieren, bevor sie beim Angreifer ankommt. Laut Cloudflare reichen die Anfragedaten allein nicht immer aus, um einen Exploit von normalem Verkehr zu unterscheiden; das Signal aus der Antwort erhöht die Sicherheit der Erkennung und senkt Fehlalarme.

Wie prüfe ich meine Cloudflare-Einstellungen für PHP2Shell?

Prüfen Sie im Cloudflare-Dashboard drei Dinge:

1. Modus des Regelsatzes (bezahlte Tarife): Das Cloudflare Managed Ruleset ist für Ihre Zone aktiv, und seine Aktion ist Blockieren, nicht nur Protokollieren.
2. Blockierte Anfragen: Filtern Sie unter Security → Security Analytics → Events nach den Regel-IDs aus Cloudflares Beitrag, um zu sehen, was gestoppt wurde.
3. Proxy-Status: Die DNS-Einträge Ihrer Website laufen über den Proxy (orangefarbene Wolke). Ein Eintrag mit „DNS only“ schickt Besucher direkt zu Ihrem Server, an der WAF vorbei.

Können Angreifer Cloudflare umgehen und meinen Server direkt angreifen?

Ja, wenn Ihr Server Verbindungen von überall annimmt. Die WAF sieht nur Anfragen, die über Cloudflare laufen. Kennt oder findet jemand die IP-Adresse Ihres Servers, kann er Anfragen direkt dorthin schicken. Cloudflares Anleitung zum Schutz Ihres Origin-Servers erklärt, wie Sie nur Verkehr von Cloudflare zulassen. Das verringert die Angriffsfläche, das PHP auf dem Server bleibt aber verwundbar, bis Sie es aktualisieren.

Muss ich PHP trotz Cloudflare aktualisieren?

Ja. PHP2Shell steckt in der PHP-Laufzeitumgebung, und laut der Ankündigung von PHP ist nur ein Update eine vollständige Lösung. Aktualisieren Sie auf die gepatchte Version Ihres Branches:

Ermitteln Sie Ihre Version mit dem PHP2Shell-Checker und folgen Sie dann dem PHP2Shell-Patch-Leitfaden für Ihr Setup. Können Sie heute nicht aktualisieren, finden Sie offizielle Übergangsmaßnahmen und ihre Grenzen unter Workaround für CVE-2026-109618.

Schützt Cloudflare auch WordPress vor PHP2Shell?

Dieselben Regeln gelten für jede PHP-Website hinter Cloudflare, auch für WordPress. Updates von WordPress, Themes oder Plugins beheben PHP2Shell nicht; siehe PHP2Shell und WordPress. WAF-Regeln anderer Anbieter, darunter AWS WAF, behandelt die Seite PHP2Shell-WAF-Regeln.