PHP2Shell 与 Cloudflare：WAF 能挡什么，你还要做什么

用了 Cloudflare 就不怕 PHP2Shell 了吗？

只能挡一部分。Cloudflare 针对 PHP2Shell 的 WAF 规则（CVE-2026-109618、CVE-2026-109619）在 2026 年 10 月 21 日 03:02（UTC）上线，比漏洞公开早约 9 小时。这些规则拦截经过 Cloudflare 的流量里的已知攻击模式，改变不了服务器上有漏洞的 PHP。Cloudflare 自己也说，修复办法是升级 PHP。

Cloudflare 还表示，它观察到了针对客户的攻击流量，攻击者在不断改写请求来绕过规则。Cloudflare 的 Dane Knecht 发帖说，新规则还在随着新变种陆续上线。

Cloudflare 哪些套餐有 PHP2Shell 规则？

所有套餐，包括免费版。规则在两个托管规则集里：

两个规则集都在 2026 年 10 月 21 日加了 7 条名为“Generic Rules - Anomalous Execution”的紧急规则，动作为拦截。Cloudflare 还在新的响应侧托管规则里加了一条面向所有套餐的规则。

Cloudflare 的“完整事务检测”是什么？

这是 Cloudflare 为应对 PHP2Shell 推出的 WAF 新能力：把请求和源站的响应放在一起判断，响应规则可以在匹配的响应到达攻击者之前把它拦下。Cloudflare 的解释是，只看请求有时分不清攻击和正常访问，加上响应信号能提高准确度、减少误拦。

在 Cloudflare 里要检查哪些设置？

在 Cloudflare 控制台检查三处：

1. 规则集模式（付费套餐）：该域名下 Cloudflare Managed Ruleset 已部署，动作是“拦截”而不是“记录”。
2. 拦截记录：在 Security → Security Analytics → Events 里，按 Cloudflare 文章列出的规则 ID 筛选，就能看到拦下了哪些请求。
3. 代理状态：网站的 DNS 记录是代理状态（橙色云朵）。“仅 DNS”的记录会让访问直接到你的服务器，绕过 WAF。

攻击者能绕过 Cloudflare 直接打服务器吗？

服务器对所有来源开放时可以。WAF 只能看到经过 Cloudflare 的请求，有人知道或扫到源站 IP，就能直接发请求过去。Cloudflare 的保护源站说明讲了怎么只接受来自 Cloudflare 的流量。这能减少暴露，但在升级之前，服务器上的 PHP 仍然有漏洞。

用了 Cloudflare 还要升级 PHP 吗？

要。PHP2Shell 在 PHP 运行时里，PHP 官方公告写明只有升级才是完整的解决办法。各分支的修复版本：

用 PHP2Shell 检测 查你的 PHP 版本，再按 PHP2Shell 修复 里对应环境的步骤升级。今天来不及升级，先看 CVE-2026-109618 缓解措施 里的官方临时办法和局限。用宝塔的见 宝塔 PHP。

WordPress 套了 Cloudflare 也一样吗？

一样。只要是 Cloudflare 后面的 PHP 网站，规则都会生效；但更新 WordPress、主题和插件修不了 PHP2Shell，见 PHP2Shell 与 WordPress。腾讯云、AWS 等其他 WAF 的情况见 PHP2Shell WAF。