Cloudflare 部署 php2shell 漏洞 WAF 防护
先了解这件事
2026 年 10 月 21 日，Cloudflare 在博客中宣布针对 PHP 运行时漏洞 php2shell（CVE-2026-109618 和 CVE-2026-109619）部署 WAF 防护，自当日 3:02 UTC 起，所有使用免费或付费 WAF 的客户默认受到保护。同日稍晚，Cloudflare 又宣布 WAF 新增全事务检测与响应规则两项能力，将每个 HTTP 请求与其响应一并评估，以识别漏洞利用证据，并可在响应到达请求方之前拦截；首批托管防护即针对 php2shell 漏洞，新能力向所有套餐（含 Free）开放，免费用户可创建最多三条响应自定义规则，检测结果可在 Security Analytics 和 Security Events 中查看。同日 22:00，Google Cloud 博客称这两个漏洞 CVSS 评分均为 9.2，可导致未认证远程代码执行与内存泄露，影响 PHP 5.4 至 8.5.11 全部版本，已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复。
AI 根据报道生成 · 36 分钟前更新
事件进展
- 10月21日 22:00 · 1 篇报道Google回应PHP核心高危漏洞并发布修复指引Google Cloud Blog：Google Cloud 回应 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619
- 10月21日 21:56 · 2 篇报道Cloudflare部署php2shell漏洞WAF防护The Cloudflare Blog：Cloudflare 针对 php2shell 漏洞部署 WAF 防护
报道时间线
沿着报道，了解事件的不同侧面。
- The Cloudflare BlogCloudflare WAF 推出全事务检测与响应规则
Cloudflare 为 WAF 新增全事务检测和响应规则两项能力，将每个 HTTP 请求与其响应一起评估，识别漏洞利用证据，并可在响应到达请求方之前拦截。首批托管防护针对近期披露的 php2shell 漏洞，新能力向所有套餐（含 Free）开放，免费用户可创建最多三条响应自定义规则。检测结果可在 Security Analytics 和 Security Events 中查看。
- Google Cloud BlogGoogle Cloud 回应 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619
PHP 核心运行时曝出两个 CVSS 9.2 的严重漏洞 CVE-2026-109618 和 CVE-2026-109619，可导致未认证远程代码执行与内存泄露，影响 PHP 5.4 至 8.5.11 全部版本，已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复。
- The Cloudflare BlogCloudflare 针对 php2shell 漏洞部署 WAF 防护
Cloudflare 已针对 PHP 运行时漏洞 php2shell（CVE-2026-109618 和 CVE-2026-109619）部署 WAF 防护，自 10 月 21 日 3:02 UTC 起，所有使用免费或付费 WAF 的客户默认受到保护。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。