今天，Calif.io、Wiz、OpenAI 和 Quarkslab 公开了 PHP 的两个漏洞，分别追踪为 CVE-2026-109618 和 CVE-2026-109619，称为 php2shell。这些漏洞影响所有运行 PHP 5.4 或更高版本的网络服务器，可能允许攻击者在应用程序处理特制的 HTTP 流量时导致拒绝服务、远程代码执行和数据泄露。Cloudflare 参与了一项协调努力，部署缓解措施以保护互联网，与 PHP 基金会、OpenAI 和 Wiz 等合作。Cloudflare 自 2026 年 10 月初以来开发并部署了网络应用防火墙（WAF）保护措施，这些措施在公开披露前约 9 小时就已部署。自 10 月 21 日 UTC 时间凌晨 3:02 起，使用我们免费或付费 WAF 的 Cloudflare 客户默认受到 php2shell 的保护。在漏洞泄露官方发布日期之前，Cloudflare 成功部署了多种缓解措施以保护所有客户，并观察到针对我们客户的攻击流量。我们观察到攻击者如何变更攻击载荷以试图绕过我们的保护，通过跟踪匹配的数量并与规则逻辑进行交叉参考。防护 php2shell 需要的不仅仅是标准的基于请求的规则。请求数据本身并不总能提供足够的证据来区分攻击与合法流量。来源的响应提供了上下文，帮助识别攻击是否成功，同时降低误报的风险。为了提供这种保护，我们开发了完整交易检测，这是一种新的 Cloudflare WAF 功能，结合了同一 HTTP 事务中的请求和响应信号。响应规则可以在匹配的来源响应到达请求方之前阻止它。php2shell 保护是我们使用此功能发布的首个管理检测。客户应该修补他们的 PHP 存储库，即使 WAF 保护提供额外的深度防御。我们的安全分析师继续监测攻击活动，并在未来几小时和几天内更新规则，以应对新技术和变体的出现。您可以在变更日志中跟踪新规则。这些保护措施现已自动部署在所有配置了 WAF 的计划中，包括免费用户。关于漏洞的信息 PHP 被近 70% 的网站使用。php2shell 漏洞影响 PHP 运行时本身，并可能允许攻击者在易受攻击的服务器上执行恶意代码，暴露客户数据或中断服务。由于 PHP 支撑着 WordPress 和 Magento 等广泛使用的平台，这些缺陷可能会影响互联网大多数应用程序。两个漏洞涉及 PHP 在处理 HTTP 请求时如何处理内存的问题。通常，PHP 分配内存来存储其处理请求所需的数据，然后在该工作完成时释放它。如果处理意外中止，例如由于内存耗尽，PHP 无法安全清理内存。这些漏洞出现在 PHP 处理错误后尝试使用未完全设置的数据或已经释放的内存时。攻击者可以发送特制的 HTTP 请求来触发这些条件。大请求是加大内存压力的一种方式，但问题不仅限于消耗服务器资源。通过 manipulating PHP 碰到的无效内存中的数据，攻击者可能能够使 PHP 进程崩溃、暴露敏感信息或执行攻击者提供的代码。这两个漏洞在不安全内存访问发生的时间上有所不同：漏洞 发生错误 CVE-2026-109618 PHP 用尽内存并在某些内部数据未正确初始化之前中断其工作。在清理该请求时，PHP 可能将此未完成的数据视为有效。CVE-2026-109619 一个致命错误中断请求，导致 PHP 持有对请求结束后被释放的内存的引用。当同一 PHP 进程处理后续请求时，可能会遵循这些过时的引用并访问不再有效的内存，从而暴露敏感数据。这些缺陷位于 PHP 运行时，因此单独更新网站代码或插件并不能修复这些漏洞。管理员需要更新其应用程序所运行的 PHP 软件。如果托管提供商管理 PHP，请请求该提供商应用安全更新。管理员可以遵循 PHP 通告查看受影响版本和修复说明。在修补时保持 Cloudflare WAF 保护开启。限制不必要的上传和限制上传大小也可以减少暴露，但这些措施并不能替代 PHP 修复。新规则 对于免费客户，Cloudflare 已根据 Cloudflare 管理的免费规则集（规则集 ID 77454fe2d30c4220b5701f6fdfb893ba）发布了新规则。免费客户无需采取任何行动来启用这些规则。