php2shell 波及近七成网站,Cloudflare 提前 9 小时部署 WAF 防护
Cloudflare Blog · rss · 2026-10-21
Calif.io、Wiz、OpenAI 与 Quarkslab 联合披露 PHP 两个漏洞 CVE-2026-109618 / CVE-2026-109619(代号 php2shell),影响所有运行 PHP 5.4 及以上的 Web 服务器,可导致拒绝服务、远程代码执行与数据泄露。PHP 驱动着约 70% 的网站(含 WordPress、Magento),波及面极大。
漏洞原理:两漏洞都出在 PHP 处理 HTTP 请求出错时的内存管理——异常中断后,PHP 可能在清理或后续请求中把未初始化/已释放的内存当作有效数据使用,攻击者借特制 HTTP 请求可借此崩溃进程、泄露敏感数据或执行任意代码。漏洞在 PHP 运行时层面,更新插件无效,必须升级 PHP 本身。
Cloudflare 应对:
- 与 PHP 基金会、OpenAI、Wiz 协调,自 10 月初起开发 WAF 规则,在公开披露前约 9 小时完成部署,免费与付费 WAF 用户默认受保护
- 漏洞提前泄露后已观测到针对客户的攻击流量,攻击者不断变形 payload 试图绕过规则
- 为此推出新能力 full transaction detection:结合同一 HTTP 事务中请求与响应两侧信号,可在源站响应到达请求方前拦截,降低误报;php2shell 防护是该能力首个托管检测
- 建议:即使有 WAF 防护也应尽快按 PHP 官方通告升级 PHP 版本
「Infra」频道最新
- NVIDIA 联手六大封测厂扩产：基板产能 3 年翻 2.5 倍 — nvidia · 2026-10-21
- 孟菲斯投票通过暂停新建数据中心 135 天 — Polymarket · 2026-10-21
- 美光高管：HBM 挤压标准 DRAM 晶圆产能，或持续到 2030 — BenBajarin · 2026-10-21
- Gemini 4 Argon 上线仅 3 天处理约 25 万亿 token — Polymarket · 2026-10-21
- DeepSeek 4.1 Flash 单节点跑出 60 万 tokens/s，vLLM 大胜 DeepInfer — kbesplv · 2026-10-21
- 美光存储路线图曝光：放弃 4F2，直奔 3D DRAM — BenBajarin · 2026-10-21