Fil-qosor: Cloudflare, skont dikjarazzjonijiet proprji, mill-21 ta' Ottubru 2026, 03:02 UTC, għandu regoli ta' protezzjoni attivi kontra PHP2Shell, anke għall-klijenti tal-pjan b'xejn. Ir-regoli inaqqsu r-riskju għat-traffiku li jgħaddi minn Cloudflare. Ma jaħdmux jekk is-server tal-oriġini jkun aċċessibbli direttament, u ma jissostitwux l-aġġornament ta' PHP. Min juża Cloudflare għandu jivverifika l-modalità tar-regoli, il-protezzjoni tal-oriġini u l-istat tal-patch.
L-okkażjoni: protezzjoni diġà qabel il-patch
Cloudflare kien mhux tas-soltu bikri b'PHP2Shell. Skont il-blog ta' Cloudflare, ir-regoli ta' protezzjoni kienu diġà jaħdmu bosta sigħat qabel il-pubblikazzjoni uffiċjali tal-aġġornamenti ta' PHP fl-14:00 UTC. Cloudflare irrapporta wkoll li osserva tentattivi ta' attakk fuq il-klijenti, u li l-attakkanti biddlu l-mudelli tagħhom biex jevitaw ir-regoli.
Ħafna operaturi ikkonkludew minn dan: “Aħna wara Cloudflare, għalhekk aħna protetti.” Dan huwa veru biss parzjalment. Dan l-artikolu jispjega x'jgħattu tassew ir-regoli. Bilanċ ġenerali bejn firewall u aġġornament joffri l-artikolu WAF jew aġġornament?.
X'ħareġ Cloudflare kontra PHP2Shell
Skont il-blog ta' Cloudflare hemm tliet elementi:
| Pjan | Protezzjoni skont Cloudflare | X'għandkom tagħmlu |
|---|---|---|
| Free | regoli ġodda fil-Managed Free Ruleset, attivi awtomatikament | ivverifikaw li d-dominju jgħaddi minn Cloudflare |
| Pro, Business, Enterprise | regoli adegwati fil-Managed Ruleset | żguraw li r-ruleset huwa fuq “Block” |
| il-pjanijiet kollha | regola standard fil-firewall il-ġdid tar-risposti | tħiddux xejn, osservaw l-avvenimenti |
It-tielet element huwa ġdid. Cloudflare isejjaħlu “full transaction detection”: Il-WAF tħares mhux biss lejn it-talba, imma wkoll lejn ir-risposta tas-server. Ir-raġuni skont Cloudflare: It-talba waħedha mhux dejjem biżżejjed biex attakk jiġi distint b'mod sigur minn traffiku normali. PHP2Shell hija l-ewwel użu ta' din il-funzjoni fir-regoli ġestiti.
Il-limiti tar-regoli ta' Cloudflare
Kemm huma utli r-regoli, għandhom limiti ċari, li Cloudflare stess isemmi parzjalment:
- Traffiku permezz ta' Cloudflare biss: Ir-regoli jivverifikaw dak li jgħaddi minn Cloudflare. Jekk is-server tal-oriġini huwa aċċessibbli direttament bl-indirizz IP tiegħu, attakkant jista' jevita l-protezzjoni.
- L-ebda rollback: Skont Cloudflare, regola fuq in-naħa tar-risposta tista' żżomm lura r-risposta, imma ma tneħħix dak li diġà ġara fuq is-server.
- Mudelli ta' attakk li jinbidlu: Cloudflare jaġġusta r-regoli kontinwament, għax l-attakkanti jbiddlu t-talbiet tagħhom. Bejn varjant ġdid u regola ġdida jista' jkun hemm lakuna.
- Mhux sostitut tal-aġġornament: Cloudflare jirrakkomanda espliċitament li PHP jiġi aġġornat minkejja l-WAF. Anke aġġornament tal-kodiċi tal-applikazzjoni jew tal-plugins ma jirranġax il-vulnerabbiltajiet.
- Każ speċjali CVE-2026-115560: Skont is-suppliment ta' Cloudflare tat-23 ta' Ottubru, ir-regola ma taħdimx jekk l-isem għas-session upload progress inbidel fil-konfigurazzjoni. Aktar dwar dan ir-rapport taħt CVE-2026-115560.
X'jgħidu t-talbiet imblukkati u x'ma jgħidux
Ħafna klijenti, wara r-rapport, jaraw l-avvenimenti tas-sigurtà tagħhom u jsibu hemm talbiet imblukkati. Dan l-ewwel juri biss li d-dominju tagħkom ġie eżaminat u r-regola taħdem. Dħul ma jkunx ippruvat b'hekk. B'mod opposti, lista vojta ta' avvenimenti mhix ħlas mill-periklu: Jekk attakk seħħ direttament fuq is-server tal-oriġini jew qabel il-21 ta' Ottubru, ma jidhirx għand Cloudflare.
Aktar affidabbli huwa l-paragun mal-logs tas-server tal-web nnifsu. Talbiet li jaslu hemm imma ma jiġux minn indirizzi ta' Cloudflare jindikaw aċċess dirett. Żommu dawn il-logs mill-20 ta' Ottubru, kif jirrakkomanda l-istampa tekniċa. Cloudflare jindika wkoll li restrizzjonijiet għall-uploads jistgħu inaqqsu r-riskju, imma ma jissostitwux l-aġġornament ta' PHP.
L-aktar dgħufija frekwenti wara Cloudflare mhix ir-regola, imma t-triq madwarha: server tal-oriġini li jwieġeb direttament bl-indirizz IP tiegħu jew permezz ta' subdominju mhux protett.
Lista ta' verifika għall-klijenti ta' Cloudflare
Dawn il-passi tistgħu intom jew il-fornitur tagħkom tagħmluhom fi żmien qasir:
- Ivverifikaw il-pjan u l-modalità tar-regoli: Fil-pjanijiet bi ħlas iċċekkjaw fid-dashboard li l-Managed Ruleset huwa attiv fil-modalità “Block”.
- Ħarsu lejn l-avvenimenti tas-sigurtà: Taħt is-Security Events iċċekkjaw jekk jidhrux talbiet imblukkati. Dan juri jekk id-dominji tagħkom kinux diġà fil-mira.
- Għaddu mid-daħliet DNS: Kull daħla li tipponta lejn is-server tal-web imma ma tgħaddix minn Cloudflare hija triq possibbli madwar. Tipiċi huma subdominji għal staging, FTP jew posta fuq l-istess server.
- Issiġillaw l-oriġini: Ikkonfiguraw is-server tal-web biex jaċċetta HTTP u HTTPS biss minn Cloudflare, pereżempju permezz ta' firewall bil-firxiet ta' indirizzi ppubblikati minn Cloudflare jew permezz ta' tunnel. Kif isir b'mod ġenerali jiddeskrivih l-artikolu Firewall għas-server tal-web.
- Ittestjaw l-aċċess dirett: Ivverifikaw minn barra jekk l-oriġini jwieġebx mingħajr Cloudflare.
- Aġġornaw PHP u erġgħu ibdew: Ir-regoli huma t-tieni linja. L-ewwel hija PHP fi stat irranġat b'restart tal-proċessi kollha ta' PHP.
Għall-pass 5 jiswa test bla ħsara li jistaqsi biss l-headers. L-indirizz IP huwa placeholder għas-server tal-oriġini tagħkom:
# L-oriġini jwieġeb direttament, bla ma jgħaddi minn Cloudflare?
curl -sI --resolve www.example.de:443:203.0.113.10 https://www.example.de/
Jekk hawn tasal risposta regolari tal-websajt tagħkom, l-oriġini huwa aċċessibbli direttament u l-protezzjoni ta' Cloudflare tista' tiġi evitata.
Kif tgħin PHP SOS b'mod konkret?
- Verifika tal-konfigurazzjoni: Nivverifikaw il-modalità tar-regoli, id-daħliet DNS u l-aċċess dirett għas-server tal-oriġini.
- Insegwraw l-oriġini: Nillimitaw is-server tal-web għat-traffiku permezz ta' Cloudflare, mingħajr ma nwaqqfu l-websajt tagħkom.
- Patch u prova: Naġġornaw PHP, nerġgħu nibdew il-proċessi kollha u niddokumentaw l-istat.
- Evalwazzjoni tal-avvenimenti: Neżaminaw it-talbiet imblukkati u nqabbluhom mal-logs tas-server.
Kif nikkombinaw regoli WAF u miżuri temporanji jiddeskrivih WAF u patching virtwali.
Konklużjoni
Ir-regoli ta' Cloudflare kontra PHP2Shell huma qligħ veru, speċjalment għax waslu kmieni u anke fil-pjan b'xejn. Madankollu huma tarka quddiem il-bieb, mhux qfil fuq il-bieb. Min hu wara Cloudflare għandu jiżgura tliet affarijiet: regoli fil-modalità Block, l-ebda triq madwar il-proxy u PHP fi stat irranġat.
Mistoqsijiet frekwenti
Jipproteġini mill-PHP2Shell il-pjan b'xejn ta' Cloudflare?
Skont Cloudflare, anke l-klijenti tal-pjan Free jirċievu r-regoli ta' protezzjoni awtomatikament. Madankollu jaħdmu biss għat-traffiku li jgħaddi minn Cloudflare u ma jissostitwux l-aġġornament ta' PHP fuq is-server. Jekk is-server tal-oriġini jkun aċċessibbli direttament, il-protezzjoni ma taħdimx.
X'għandi nissettja fil-pjanijiet ta' Cloudflare bi ħlas?
Cloudflare jirrakkomanda lill-klijenti tal-pjanijiet Pro, Business u Enterprise li jivverifikaw li l-Managed Ruleset jaħdem fil-modalità Block. Jekk ikun biss fuq reġistrazzjoni, l-attakki jiġu rreġistrati imma mhux imwaqqfa.
X'inhi full transaction detection?
Funzjoni ġdida tal-WAF ta' Cloudflare li tħares mhux biss lejn it-talba, imma wkoll lejn ir-risposta tas-server. Hekk jista' jinstab jekk tentattiv ta' attakk huwiex qed jagħmel effett, u r-risposta tista' tinżamm lura. X'diġà ġie eżegwit fuq is-server, skont Cloudflare, ma tħassarx.
Cloudflare jgħatti wkoll CVE-2026-115560?
Cloudflare żied fit-23 ta' Ottubru mar-rapport tiegħu dwar CVE-2026-115560. Skont Cloudflare, ir-regola relatata ma taħdimx jekk l-isem għas-session upload progress inbidel fil-konfigurazzjoni ta' PHP. Indipendentement minn dan, php.net jirrakkomanda li jiġi ssettjat session.upload_progress.enabled=0.