WAF 能防住 PHP2Shell 吗？
能降低风险，但不是修复。PHP2Shell（CVE-2026-109618、CVE-2026-109619）在 PHP 运行时里，PHP 官方公告写明只有升级才是完整的解决办法。WAF 只拦截经过它的流量里的已知攻击模式；攻击者已经在变换请求来绕过规则，不经过 WAF 直接到达服务器的请求更是完全不会被检查。
哪些 WAF 有 PHP2Shell 防护？
下面这些厂商公开了针对 PHP2Shell 的防护，表中内容都来自各家官方说明（截至 2026年10月22日）：
| 厂商 | 做了什么 | 你要不要操作 |
|---|---|---|
| 腾讯云 | Web 应用防火墙、云防火墙已支持防护，主机安全支持检测（风险通告） | 到控制台确认防护已开启 |
| Cloudflare | 10 月 21 日上线 7 条紧急托管规则和一条响应侧规则（文章） | 免费版不用；付费版确认托管规则集为拦截模式，见 PHP2Shell 与 Cloudflare |
| AWS WAF | AWS 安全公告 2026-143 给出针对 CVE-2026-109618 的请求体大小规则和针对 CVE-2026-109619 的自定义规则，PHP 托管规则组也会更新 | 要，把规则加进 Web ACL |
| Fastly Next-Gen WAF | 覆盖两个 CVE 的模板规则（虚拟补丁）（文章） | 要，手动启用模板规则 |
| Imperva | 云 WAF 默认防护；Elastic WAF 2.2.1、WAF Gateway V14.7 / V15.5 LTS 更新后防护（文章） | 云 WAF 不用；Elastic WAF 和 WAF Gateway 要更新 |
阿里云安全公告（2026 年 10 月 22 日）建议已部署阿里云 WAF 或云防火墙的用户保持防护启用，并说明这只能降低风险、不能替代升级；公告没有列出具体规则。Akamai 截至 2026年10月22日 本站没有找到官方说明，请直接向厂商确认。
AWS WAF 怎么配？
AWS 在安全公告 2026-143-AWS 里给了两项补充措施：
- 针对 CVE-2026-109618：使用 AWS WAF 核心规则集（CRS）里的 SizeRestrictions_BODY 规则，拦截超过 8KB（8,192 字节）的请求体。
- 针对 CVE-2026-109619：添加一条自定义规则，拦截请求体里含
PHP_SESSION_UPLOAD_PROGRESS、且请求体或 Cookie 里有PHPSESSID的 POST 请求。规则的 JSON 在公告里可以直接复制。
AWS 说这两项都不是完整的缓解，PHP 托管规则组之后会更新。
为什么光靠 WAF 不够？
有三个原因：
- 会被绕过：WAF 只看得到经过它的流量。服务器如果也接受直接访问，攻击者找到源站 IP 就能绕过 WAF。
- 攻击会变：Cloudflare 报告攻击者在补丁发布前就在改写请求躲避规则。规则跟上之前，新变种可能漏过去。
- 漏洞还在：服务器上的 PHP 仍然有漏洞，换个路径到达就可能被利用。
除了 WAF 还要做什么？
把 PHP 升级到所在分支的修复版本：
| 分支 | 首个修复版本 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 及更早 | 无新发行版（7.4、8.0、8.1 有官方源码补丁） |
用 PHP2Shell 检测 查版本，按 PHP2Shell 修复 升级；宝塔用户见 宝塔 PHP。升级前，把 WAF 和 CVE-2026-109618 缓解措施 里的官方临时办法一起用。漏洞细节已经泄露，补上 WAF 也抹不掉之前可能发生的入侵，请按 网站被黑检测 自查。
开了 WAF 还要升级 PHP 吗？
要。这里列的各家都把 WAF 定位为补充措施，PHP 官方也说只有升级才是完整的解决办法。WAF 用来争取时间，PHP 一定要升级。
WAF 规则会不会把网站搞坏？
可能会。比如 AWS 建议的请求体大小规则会拦截超过 8KB 的请求体，大表单和上传会失败。能用观察（计数）模式的先观察，切到拦截后也要看拦截记录。
来源
本页的核心事实（修复版本、CVE 详情、发行版软件包、官方机构的提醒）都来自官方来源；研究报告、新闻和社区讨论已分别标注。
- 【安全通告】PHP "php2shell" 远程代码执行漏洞风险通告（CVE-2026-109618, CVE-2026-109619）厂商 腾讯云
- Cloudflare deploys protections against php2shell vulnerabilityCDN 厂商 Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Free Ruleset厂商 Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Managed Ruleset厂商 Cloudflare
- Security Bulletin 2026-143-AWS: PHP CVE-2026-109618 and CVE-2026-109619厂商 AWS
- Proactive protection for PHP2Shell (CVE-2026-109618 and CVE-2026-109619)CDN 厂商 Fastly
- PHP2Shell: When PHP Runs Out of Memory at the Wrong Moment厂商 Imperva
- AVD-2026-109618：PHP 远程代码执行漏洞（高危）厂商 阿里云漏洞库
- Security advisory: Critical remote code execution vulnerabilities, update now官方 The PHP Group
- 【漏洞通告】PHP远程代码执行漏洞风险通告厂商 阿里云安全团队（官网公告·安全公告）