PHP2Shell と Cloudflare：WAF が防ぐこと、自分でやること

Cloudflare を使っていれば PHP2Shell から守られますか？

一部だけです。Cloudflare は PHP2Shell 向けの WAF ルール（CVE-2026-109618・CVE-2026-109619）を、公表の約 9 時間前の 2026年10月21日 3:02（UTC）に有効にしました。このルールは Cloudflare を通る通信のうち、既知の攻撃パターンを止めます。サーバーで動いている PHP 自体は変わらないため、Cloudflare 自身も PHP の更新が修正だとしています。

Cloudflare は、顧客を狙った攻撃の通信を観測したこと、攻撃者がルールを避けようと内容を変えてきていることも報告しています。Cloudflare の Dane Knecht 氏は、新しい手口に合わせてルールを追加し続けていると投稿しました。

どの Cloudflare プランが対象ですか？

無料を含むすべてのプランです。ルールは次の二つのマネージドルールセットに入っています。

どちらにも 2026年10月21日、「Generic Rules - Anomalous Execution」という緊急ルールが 7 件、ブロック設定で追加されました。さらに、新しいレスポンス側のマネージドルールにも全プラン向けのルールが加わっています。

Cloudflare の「フルトランザクション検知」とは何ですか？

Cloudflare が PHP2Shell への対応に合わせて公開した WAF の新機能です。リクエストとサーバーからのレスポンスをまとめて評価し、一致したレスポンスを攻撃者に届く前に止めます。リクエストだけでは攻撃と正常な通信を見分けにくいため、レスポンスの情報も使って精度を上げる仕組みです。

Cloudflare の設定で何を確認すればいいですか？

Cloudflare のダッシュボードで次の三つを確認してください。

1. ルールセットの設定（有料プラン）：対象ゾーンで Cloudflare Managed Ruleset が有効になっていて、アクションが「ログ」ではなく「ブロック」であること。
2. 止めた通信：Security → Security Analytics → Events で、Cloudflare の記事に載っているルール ID で絞り込むと、止めた通信を確認できます。
3. プロキシ状態：サイトの DNS レコードがプロキシ（オレンジの雲）になっていること。DNS のみのレコードは、訪問者を WAF を通さずにサーバーへ直接つなぎます。

Cloudflare を通さずにサーバーを直接狙われることはありますか？

サーバーがどこからの接続も受け付けている場合はあり得ます。WAF が見られるのは Cloudflare を通るリクエストだけです。サーバーの IP アドレスが分かれば、直接リクエストを送れます。Cloudflare のオリジンサーバーを保護する方法に、Cloudflare からの通信だけを受け付ける設定がまとまっています。これで露出は減りますが、PHP を更新するまでサーバーの PHP は脆弱なままです。

Cloudflare を使っていても PHP の更新は必要ですか？

必要です。PHP2Shell は PHP 本体の脆弱性で、PHP 公式も完全な解決策は更新だけだと明記しています。系列ごとの修正版は次のとおりです。

PHP2Shell チェッカーで自分の PHP を確認し、php2shell 対処法の手順で更新してください。今日すぐに更新できない場合は、CVE-2026-109618 回避策で公式の暫定対策と限界を確認できます。

WordPress でも Cloudflare の保護は同じですか？

Cloudflare の背後にある PHP サイトなら、WordPress でも同じルールが働きます。WordPress 本体やテーマ、プラグインを更新しても PHP2Shell は直りません。PHP2Shell と WordPressをご覧ください。AWS WAF などほかの WAF の対応は PHP2Shell と WAF にまとめています。