PHP2Shell e Cloudflare: o que o WAF bloqueia e o que você ainda precisa fazer

A Cloudflare protege meu site contra o PHP2Shell?

Em parte. A Cloudflare ativou regras de WAF para o PHP2Shell (CVE-2026-109618 e CVE-2026-109619) às 03:02 UTC de 21 de outubro de 2026, cerca de nove horas antes da divulgação pública. As regras bloqueiam padrões de ataque conhecidos no tráfego que passa pela Cloudflare. Elas não mudam o PHP vulnerável do seu servidor, e a própria Cloudflare diz que a correção é atualizar o PHP.

A Cloudflare também relatou que observou tráfego de ataque contra seus clientes e que os atacantes estavam alterando os payloads para contornar as regras. Dane Knecht, da Cloudflare, escreveu que novas regras continuavam entrando no changelog do WAF à medida que surgiam variantes.

Quais planos da Cloudflare recebem as regras do PHP2Shell?

Todos os planos, inclusive o Free. As regras estão em dois conjuntos gerenciados:

Os dois receberam, em 21 de outubro de 2026, sete regras emergenciais chamadas “Generic Rules - Anomalous Execution”, configuradas para bloquear. A Cloudflare também adicionou uma regra do lado da resposta ao seu novo firewall gerenciado de respostas, disponível em todos os planos.

O que é a “full transaction detection” da Cloudflare?

É um novo recurso do WAF que a Cloudflare lançou por causa do PHP2Shell. O WAF analisa a requisição e a resposta do seu servidor em conjunto, e uma regra de resposta pode bloquear uma resposta suspeita antes que ela chegue ao atacante. A Cloudflare diz que só os dados da requisição nem sempre bastam para distinguir um exploit de tráfego normal, então o sinal da resposta aumenta a confiança e reduz os falsos positivos.

Como confiro minhas configurações da Cloudflare para o PHP2Shell?

Confira três coisas no painel da Cloudflare:

1. Modo do conjunto de regras (planos pagos): o Cloudflare Managed Ruleset está implantado na sua zona e a ação é bloquear (block), não apenas registrar (log).
2. Requisições bloqueadas: em Security → Security Analytics → Events, filtre pelos IDs de regra listados no post da Cloudflare para ver o que foi barrado.
3. Status do proxy: os registros DNS do seu site estão com proxy (nuvem laranja). Um registro só DNS manda os visitantes direto para o seu servidor, sem passar pelo WAF.

Os atacantes podem contornar a Cloudflare e atacar meu servidor diretamente?

Sim, se o seu servidor aceita conexões de qualquer lugar. O WAF só vê as requisições que passam pela Cloudflare. Se alguém sabe ou descobre o endereço IP do seu servidor, pode mandar requisições direto para ele. O guia da Cloudflare para proteger o servidor de origem explica como aceitar tráfego somente da Cloudflare. Isso reduz a exposição, mas o PHP do servidor continua vulnerável até você atualizá-lo.

Ainda preciso atualizar o PHP se uso a Cloudflare?

Sim. O PHP2Shell está no runtime do PHP, e o próprio anúncio do PHP diz que só a atualização é uma solução completa. Atualize para a versão corrigida do seu ramo:

Descubra a sua versão com o verificador PHP2Shell e siga o guia de correção do PHP2Shell para o seu ambiente. Se não puder atualizar hoje, veja a mitigação da CVE-2026-109618 com as medidas temporárias oficiais e seus limites.

A Cloudflare protege o WordPress contra o PHP2Shell?

As mesmas regras valem para qualquer site PHP atrás da Cloudflare, inclusive o WordPress. Atualizar o WordPress, os temas ou os plugins não corrige o PHP2Shell; veja PHP2Shell e WordPress. Para as regras de WAF de outros provedores, incluindo o AWS WAF, veja regras de WAF para o PHP2Shell.