PHP2Shell e Cloudflare: cosa blocca il WAF e cosa devi fare comunque

Cloudflare protegge il mio sito da PHP2Shell?

In parte. Cloudflare ha attivato regole WAF per PHP2Shell (CVE-2026-109618 e CVE-2026-109619) alle 03:02 UTC del 21 ottobre 2026, circa nove ore prima della divulgazione pubblica. Le regole bloccano gli schemi d’attacco noti nel traffico che passa da Cloudflare. Non cambiano il PHP vulnerabile sul tuo server, e la stessa Cloudflare dice che la correzione è aggiornare PHP.

Cloudflare ha anche riferito di aver osservato traffico d’attacco contro i propri clienti e che gli attaccanti modificavano i payload per aggirare le regole. Dane Knecht di Cloudflare ha scritto che nuove regole continuavano ad arrivare nel changelog del WAF man mano che comparivano varianti.

Quali piani Cloudflare ricevono le regole PHP2Shell?

Tutti, Free compreso. Le regole sono in due ruleset gestiti:

Il 21 ottobre 2026 entrambi hanno ricevuto sette regole d’emergenza chiamate “Generic Rules - Anomalous Execution”, impostate su blocco. Cloudflare ha aggiunto anche una regola lato risposta al suo nuovo firewall gestito per le risposte, disponibile su tutti i piani.

Cos’è la “full transaction detection” di Cloudflare?

È una nuova funzione del WAF che Cloudflare ha rilasciato per PHP2Shell. Il WAF esamina insieme la richiesta e la risposta del tuo server, e una regola sulla risposta può bloccare una risposta sospetta prima che arrivi all’attaccante. Secondo Cloudflare, i soli dati della richiesta non bastano sempre a distinguere un exploit dal traffico normale, quindi il segnale della risposta aumenta l’affidabilità e riduce i falsi positivi.

Come controllo le impostazioni Cloudflare per PHP2Shell?

Controlla tre cose nella dashboard di Cloudflare:

1. Modalità del ruleset (piani a pagamento): il Cloudflare Managed Ruleset è attivo per la tua zona e la sua azione è block, non log.
2. Richieste bloccate: in Security → Security Analytics → Events, filtra per gli ID delle regole elencati nel post di Cloudflare per vedere cosa è stato fermato.
3. Stato del proxy: i record DNS del sito sono in proxy (nuvola arancione). Un record solo DNS manda i visitatori direttamente al tuo server, aggirando il WAF.

Gli attaccanti possono aggirare Cloudflare e colpire direttamente il mio server?

Sì, se il server accetta connessioni da chiunque. Il WAF vede solo le richieste che passano da Cloudflare. Se qualcuno conosce o scopre l’indirizzo IP del tuo server, può inviargli richieste direttamente. La guida di Cloudflare per proteggere il server di origine spiega come accettare traffico solo da Cloudflare. Questo riduce l’esposizione, ma il PHP sul server resta vulnerabile finché non lo aggiorni.

Devo aggiornare PHP anche se uso Cloudflare?

Sì. PHP2Shell sta nel runtime di PHP, e l’annuncio di PHP dice che solo un aggiornamento è una soluzione completa. Aggiorna alla versione corretta del tuo ramo:

Trova la tua versione con il verificatore PHP2Shell, poi segui la guida alla patch PHP2Shell per la tua configurazione. Se oggi non puoi aggiornare, vedi il workaround per CVE-2026-109618 con le misure temporanee ufficiali e i loro limiti.

Cloudflare protegge da PHP2Shell anche su WordPress?

Le stesse regole valgono per qualsiasi sito PHP dietro Cloudflare, WordPress compreso. Aggiornare WordPress, temi o plugin non corregge PHP2Shell; vedi PHP2Shell e WordPress. Per le regole WAF di altri provider, tra cui AWS WAF, vedi regole WAF per PHP2Shell.