¿Cloudflare protege mi web de PHP2Shell?
En parte. Cloudflare desplegó reglas de WAF para PHP2Shell (CVE-2026-109618 y CVE-2026-109619) a las 03:02 UTC del 21 de octubre de 2026, unas nueve horas antes de la publicación oficial. Las reglas bloquean patrones de ataque conocidos en el tráfico que pasa por Cloudflare. No cambian el PHP vulnerable de tu servidor, y la propia Cloudflare dice que la solución es actualizar PHP.
Cloudflare también informó de que había detectado tráfico de ataque contra sus clientes y de que los atacantes iban modificando sus cargas para esquivar las reglas. Dane Knecht, de Cloudflare, escribió que seguían llegando reglas nuevas al registro de cambios del WAF a medida que aparecían variantes.
¿Qué planes de Cloudflare reciben las reglas contra PHP2Shell?
Todos, incluido el gratuito. Las reglas están en dos conjuntos administrados:
| Plan | Conjunto de reglas | Qué tienes que hacer |
|---|---|---|
| Free | Cloudflare Managed Free Ruleset | Nada: está activo por defecto |
| Pro, Business, Enterprise | Cloudflare Managed Ruleset | Confirmar que el conjunto está desplegado y en modo bloqueo |
Ambos recibieron el 21 de octubre de 2026 siete reglas de emergencia llamadas «Generic Rules - Anomalous Execution», configuradas para bloquear. Cloudflare añadió además una regla sobre las respuestas a su nuevo firewall de respuestas administrado, disponible en todos los planes.
¿Qué es la «detección de transacción completa» de Cloudflare?
Es una nueva función del WAF que Cloudflare lanzó a raíz de PHP2Shell. El WAF analiza a la vez la petición y la respuesta de tu servidor, y una regla de respuesta puede bloquear una respuesta sospechosa antes de que llegue al atacante. Cloudflare explica que los datos de la petición no siempre bastan para distinguir un ataque del tráfico normal, así que la señal de la respuesta aporta seguridad y reduce los falsos positivos.
¿Cómo reviso mi configuración de Cloudflare para PHP2Shell?
Revisa tres cosas en el panel de Cloudflare:
- Modo del conjunto de reglas (planes de pago): el Cloudflare Managed Ruleset está desplegado en tu zona y su acción es bloquear (block), no solo registrar (log).
- Peticiones bloqueadas: en Security → Security Analytics → Events, filtra por los ID de regla que aparecen en el artículo de Cloudflare para ver qué se ha frenado.
- Estado del proxy: los registros DNS de tu web pasan por el proxy (nube naranja). Un registro solo DNS manda a los visitantes directamente a tu servidor, sin pasar por el WAF.
¿Pueden los atacantes saltarse Cloudflare y atacar mi servidor directamente?
Sí, si tu servidor acepta conexiones desde cualquier sitio. El WAF solo ve las peticiones que pasan por Cloudflare. Si alguien conoce o descubre la dirección IP de tu servidor, puede enviarle peticiones directamente. La guía de Cloudflare para proteger tu servidor de origen explica cómo aceptar solo tráfico procedente de Cloudflare. Eso reduce la exposición, pero el PHP del servidor sigue siendo vulnerable hasta que lo actualices.
¿Tengo que actualizar PHP aunque use Cloudflare?
Sí. PHP2Shell está en el propio PHP, y el anuncio de PHP dice que solo una actualización es una solución completa. Actualiza a la versión corregida de tu rama:
| Rama | Primera versión corregida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 y anteriores | Sin versión nueva; parches oficiales del código fuente para 7.4, 8.0 y 8.1 |
Averigua tu versión con el comprobador PHP2Shell y sigue la guía del parche de PHP2Shell para tu caso. Si hoy no puedes actualizar, consulta la mitigación de CVE-2026-109618 para ver las medidas temporales oficiales y sus límites.
¿Cloudflare protege contra PHP2Shell en WordPress?
Las mismas reglas se aplican a cualquier web PHP detrás de Cloudflare, WordPress incluido. Actualizar WordPress, los temas o los plugins no corrige PHP2Shell; consulta PHP2Shell y WordPress. Para las reglas de WAF de otros proveedores, como AWS WAF, consulta reglas de WAF contra PHP2Shell.
Tengo el plan gratuito de Cloudflare. ¿Tengo que activar algo para PHP2Shell?
No. Cloudflare indica que los planes gratuitos quedan cubiertos automáticamente por el Cloudflare Managed Free Ruleset. Aun así tienes que actualizar PHP, porque las reglas filtran patrones de ataque conocidos y no cambian el PHP que se ejecuta en tu servidor.
Mi web está detrás de Cloudflare. ¿Pueden atacarla igualmente?
Sí, si tu servidor también acepta tráfico que no pasa por Cloudflare. Las peticiones enviadas directamente a la IP de tu servidor nunca atraviesan el WAF. Restringe tu origen a Cloudflare, como describe la propia guía de Cloudflare, y actualiza PHP.
Comprueba si tu PHP está afectado por PHP2Shell
Introduce la versión que indica tu web. La comparamos con la primera versión corregida de su rama y te decimos qué hacer a continuación.
Comprobador PHP2Shell →Fuentes
Los datos principales de esta página (versiones corregidas, detalles de los CVE, paquetes de los distribuidores y avisos de organismos oficiales) proceden de fuentes oficiales. Las investigaciones, noticias y publicaciones de la comunidad se identifican como tales.
- Cloudflare deploys protections against php2shell vulnerabilityProveedor de CDN Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Managed RulesetProveedor Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Free RulesetProveedor Cloudflare
- Default WAF protections deployed before public disclosureProveedor Cloudflare (X)
- Rules live at 03:02 UTC; attackers mutating payloads; patch PHPProveedor Dane Knecht, Cloudflare (X)
- Protect your origin serverProveedor Cloudflare
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group