Сегодня компании Calif.io, Wiz, OpenAI и Quarkslab сообщили о двух уязвимостях в PHP, получивших идентификаторы CVE-2026-109618 и CVE-2026-109619 и известных как php2shell. Уязвимости затрагивают все веб-серверы, на которых работает PHP 5.4 или более поздних версий, и могут позволить злоумышленнику вызвать отказ в обслуживании, удаленное выполнение кода и утечку данных при обработке приложением специально сформированного HTTP-трафика.
Cloudflare участвует в координированных усилиях по развертыванию средств защиты для обеспечения безопасности Интернета, сотрудничая с PHP foundation, OpenAI и Wiz и другими организациями. Компания Cloudflare разработала и внедрила средства защиты веб-экрана (WAF) в начале октября 2026 года; они были развернуты примерно за 9 часов до официального обнародования информации. Начиная с 21 октября, 03:02 по Всемирному координированному времени (UTC), клиенты Cloudflare, использующие наш бесплатный или платный WAF, защищены от php2shell по умолчанию.
Cloudflare успешно развернула множество средств защиты для всех своих клиентов, в то время как информация об уязвимости утекла до официальной даты релиза, и мы зафиксировали атакующий трафик, направленный против наших клиентов. Мы наблюдали, как злоумышленники мутировали полезную нагрузку атак, пытаясь обойти нашу защиту, отслеживая объем совпадений и сопоставляя их с логикой правил.
Защита от php2shell потребовала большего, чем стандартные правила на основе запросов. Данные только одного запроса не всегда дают достаточно оснований для того, чтобы отличить эксплойт от легитимного трафика. Ответ исходного сервера добавляет контекст, помогая определить, был ли эксплойт успешным, и снижая риск ложных срабатываний.
Чтобы обеспечить такую защиту, мы разработали обнаружение полных транзакций — новую функцию WAF от Cloudflare, которая объединяет сигналы запроса и ответа в рамках одной HTTP-транзакции. Правила ответов могут блокировать совпадающий ответ исходного сервера до того, как он дойдет до запрашивающей стороны. Защита от php2shell — это первые управляемые средства обнаружения, которые мы выпустили с использованием этой возможности.
Клиентам следует обновить свои репозитории PHP, даже если средства защиты WAF обеспечивают дополнительный уровень многоуровневой минимизации рисков. Наши специалисты по безопасности продолжают следить за активностью атак и обновляют правила по мере появления новых методов и вариаций в ближайшие часы и дни. Вы можете отслеживать новые правила в changelog.
Защита доступна и развертывается автоматически на всех тарифных планах с настроенным WAF, в том числе для бесплатных пользователей.
Что нам известно об уязвимостях
PHP используется практически 70% of websites. Уязвимости php2shell затрагивают саму среду выполнения PHP и могут позволить злоумышленникам выполнять вредоносный код на уязвимых серверах, раскрывать данные клиентов или нарушать работу служб. Поскольку PHP лежит в основе широко используемых платформ, таких как WordPress и Magento, эти изъяны потенциально могут затронуть огромное количество приложений по всему Интернету.
Эти две уязвимости связаны с тем, как PHP обрабатывает память при возникновении сбоя во время обработки HTTP-запроса. Обычно PHP выделяет память для хранения данных, необходимых для обработки запроса, а затем освобождает ее по завершении этой работы. Если обработка останавливается неожиданно, например из-за нехватки памяти, PHP не может безопасно очистить память. Эти уязвимости возникают, когда PHP обрабатывает ошибку, а затем пытается использовать данные, которые не были полностью настроены, или память, которая уже была освобождена.
Злоумышленник может отправлять специально сформированные HTTP-запросы для создания таких условий. Крупные запросы — один из способов создать нагрузку на память, но проблема выходит за рамки потребления ресурсов сервера. Манипулируя данными, с которыми PHP сталкивается в этой недопустимой памяти, злоумышленник может вызвать сбой процесса PHP, раскрыть конфиденциальную информацию или выполнить предоставленный им код.
Эти две уязвимости различаются тем, в какой момент происходит небезопасный доступ к памяти:
Уязвимость
Что идет не так
CVE-2026-109618
В PHP заканчивается память, и работа прерывается до того, как некоторые внутренние данные успевают должным образом инициализироваться. Во время очистки этого запроса PHP может использовать эти незавершенные данные так, как если бы они были действительными.
CVE-2026-109619
Критическая ошибка прерывает запрос, в результате чего PHP сохраняет ссылки на память, которая освобождается по завершении запроса. Когда тот же процесс PHP обрабатывает последующий запрос, он может перейти по этим устаревшим ссылкам, обратиться к памяти, которая больше не является действительной, и раскрыть конфиденциальные данные.
Эти изъяны кроются в среде выполнения PHP, поэтому простое обновление кода веб-сайта или плагинов не устраняет данные уязвимости. Администраторам необходимо обновить программное обеспечение PHP, на котором работают их приложения. Если хостинг-провайдер управляет PHP, попросите его применить обновление безопасности.
Администраторы могут следовать рекомендациям PHP для затронутых версий и инструкциям по устранению уязвимостей. Не отключайте защиту Cloudflare WAF во время применения патчей. Ограничение ненужных загрузок и ограничение их размера также может снизить уровень риска, но эти меры не заменяют обновление PHP.
Новые правила
Для бесплатных пользователей выпущены новые правила в рамках набора правил Cloudflare Managed Free Ruleset (идентификатор набора правил 77454fe2d30c4220b5701f6fdfb893ba). Бесплатным клиентам не нужно предпринимать никаких действий для включения защиты. Информацию об изменении поведения набора правил см. в разделе documentation.
Описание правила
Идентификатор правила
Общие правила - Аномальное выполнение - 1
4e315666e8e344cdb64119a3b5ccf32f
Общие правила - Аномальное выполнение - 2
00c10e6cc4da4bd08722adeebcd95984
Общие правила - Аномальное выполнение - 3
48ddf592361e4fdb97a8a85982dab691
Общие правила - Аномальное выполнение - 4
3556683d512a47f2937899c524b1a4c6
Общие правила - Аномальное выполнение - 5
da07c85852e34625bb478496302ede46
Общие правила - Аномальное выполнение - 6
19373a83abb840e18ab3ce5a7975ce1b
Общие правила - Аномальное выполнение - 7
07f0b6ddaabf40b1b2042dade8d613fa
Защита для платных тарифов была выпущена в составе набора правил Cloudflare Managed Ruleset (идентификатор набора правил efb7b8c949ac4650a09736fc376e9aee). Если вы используете тариф Professional, Business или Enterprise, проверьте развертывание своего управляемого набора правил, чтобы убедиться, что он находится в режиме блокировки.
Описание правила
Идентификатор правила
Общие правила - Аномальное выполнение - 1
c1d409ad838f47f59446f21cc438d5dd
Общие правила - Аномальное выполнение - 2
f9a45927414245e3a64bb12d0a0c2f64
Общие правила - Аномальное выполнение - 3
771c654ae1154d4daa72f4e1545d163c
Общие правила - Аномальное выполнение - 4
217005865f0145f392300bac212afcc9
Общие правила - Аномальное выполнение - 5
38efdb17ea594501bb55a1d71867b12e
Общие правила - Аномальное выполнение - 6
4148ae686fdb4d01be673fab9d9c073d
Общие правила - Аномальное выполнение - 7
1389aa259617437392ce149c48143645
Для более точного выявления попыток эксплойтов компания Cloudflare разработала функцию обнаружения полных транзакций — новую возможность WAF, которая анализирует обе стороны одной и той же HTTP-транзакции. Хотя некоторые вредоносные полезные данные можно идентифицировать только по запросу, ответ содержит полезные сигналы, которые можно использовать для создания правил с более высокой степенью уверенности, снижая количество ложных срабатываний. Правило сопоставления полных транзакций может заблокировать ответ исходного сервера до того, как он дойдет до пользователя. Узнайте, как это работает, в нашей публикации в блоге об обнаружении полных транзакций.
Следующие правила были внедрены в новый набор правил брандмауэра Cloudflare Managed Response по умолчанию для клиентов на всех тарифных планах, включая Бесплатный:
Описание правила
Идентификатор правила
Блокировка по умолчанию для сигнатур с высокой степенью достоверности
afffe22785674c80a31875c848d2242a
Примечание: описания правил будут обновлены в ближайшее время.
Просмотр событий и настройка защиты
Чтобы проанализировать заблокированные запросы, перейдите в раздел Security > Security Analytics > Events (Безопасность > Аналитика безопасности > События). Отфильтруйте их по идентификаторам правил из таблицы выше и изучите совпавший запрос, действие и путь. События показывают, было ли действие выполнено управляемым или пользовательским правилом. Клиенты, которым требуется настроить защиту индивидуально, могут изменить область действия управляемого набора правил для тех частей приложения, где это актуально.
Обновите PHP и сохраните защиту включенной
Клиенты Cloudflare, использующие наш управляемый набор правил, защищены по умолчанию. Мы рекомендуем следовать рекомендации и применить обновление от производителя для ваших репозиториев PHP как можно скорее, оставив защиту WAF включенной в качестве дополнительного уровня безопасности. Наши аналитики WAF продолжат обновлять средства защиты по мере появления новых методовтакже.
