PHP2Shell et Cloudflare : ce que bloque le WAF et ce qu’il vous reste à faire

Cloudflare protège-t-il mon site contre PHP2Shell ?

En partie. Cloudflare a déployé des règles WAF contre PHP2Shell (CVE-2026-109618 et CVE-2026-109619) le 21 octobre 2026 à 3 h 02 UTC, environ neuf heures avant la divulgation publique. Ces règles bloquent les schémas d’attaque connus dans le trafic qui passe par Cloudflare. Elles ne modifient pas le PHP vulnérable de votre serveur, et Cloudflare lui-même rappelle que la correction passe par la mise à jour de PHP.

Cloudflare a aussi indiqué avoir observé du trafic d’attaque visant ses clients et que les attaquants modifiaient leurs charges pour contourner les règles. Dane Knecht, de Cloudflare, a écrit que de nouvelles règles continuaient d’arriver dans le journal des modifications du WAF à mesure que des variantes apparaissaient.

Quelles offres Cloudflare reçoivent les règles PHP2Shell ?

Toutes les offres, y compris l’offre gratuite. Les règles se trouvent dans deux jeux de règles gérés :

Les deux ont reçu le 21 octobre 2026 sept règles d’urgence nommées « Generic Rules - Anomalous Execution », réglées sur le blocage. Cloudflare a aussi ajouté une règle côté réponse à son nouveau pare-feu de réponses géré, disponible sur toutes les offres.

Qu’est-ce que la « détection sur la transaction complète » de Cloudflare ?

C’est une nouvelle fonction du WAF que Cloudflare a lancée à l’occasion de PHP2Shell (full transaction detection). Le WAF examine ensemble la requête et la réponse de votre serveur, et une règle de réponse peut bloquer une réponse suspecte avant qu’elle n’atteigne l’attaquant. Selon Cloudflare, les données de la requête ne suffisent pas toujours à distinguer une tentative d’exploitation d’un trafic normal ; le signal de la réponse apporte une confirmation et réduit les faux positifs.

Comment vérifier mes réglages Cloudflare pour PHP2Shell ?

Vérifiez trois points dans le tableau de bord Cloudflare :

1. Mode du jeu de règles (offres payantes) : le Cloudflare Managed Ruleset est déployé pour votre zone et son action est le blocage, pas la simple journalisation.
2. Requêtes bloquées : dans Security → Security Analytics → Events, filtrez sur les identifiants de règles indiqués dans l’article de Cloudflare pour voir ce qui a été arrêté.
3. Statut du proxy : les enregistrements DNS de votre site sont proxifiés (nuage orange). Un enregistrement « DNS only » envoie les visiteurs directement à votre serveur, en contournant le WAF.

Les attaquants peuvent-ils contourner Cloudflare et attaquer directement mon serveur ?

Oui, si votre serveur accepte des connexions de n’importe où. Le WAF ne voit que les requêtes qui passent par Cloudflare. Si quelqu’un connaît ou découvre l’adresse IP de votre serveur, il peut lui envoyer des requêtes directement. Le guide de Cloudflare sur la protection du serveur d’origine explique comment n’accepter que le trafic venant de Cloudflare. Cela réduit l’exposition, mais le PHP du serveur reste vulnérable tant que vous ne l’avez pas mis à jour.

Faut-il quand même mettre PHP à jour si j’utilise Cloudflare ?

Oui. PHP2Shell se trouve dans le moteur PHP lui-même, et l’annonce de PHP précise que seule une mise à jour est une solution complète. Passez à la version corrigée de votre branche :

Identifiez votre version avec le vérificateur PHP2Shell, puis suivez le guide du correctif PHP2Shell adapté à votre configuration. Si vous ne pouvez pas mettre à jour aujourd’hui, consultez la page contournement de la CVE-2026-109618 pour les mesures temporaires officielles et leurs limites.

Cloudflare protège-t-il un site WordPress contre PHP2Shell ?

Les mêmes règles s’appliquent à tout site PHP derrière Cloudflare, WordPress compris. Mettre à jour WordPress, les thèmes ou les extensions ne corrige pas PHP2Shell ; voir PHP2Shell et WordPress. Pour les règles WAF des autres fournisseurs, dont AWS WAF, voir règles WAF contre PHP2Shell.