Cloudflare melaksanakan perlindungan terhadap kerentanan
Kemas kini – Pada 23 Oktober, projek PHP menerbitkan kenasihat maklumat bagi kerentanan berkaitan, CVE-2026-115560, dalam ciri kemajuan muat naik sesi PHP. Ia menjejaskan keluaran PHP yang telah ditampal sepenuhnya, termasuk 8.5.12, dan akan diperbetulkan dalam keluaran biasa PHP seterusnya.
Semua pelanggan WAF Cloudflare dilindungi daripada percubaan eksploitasi yang dikenali jika tapak mereka menggunakan nama medan kemajuan muat naik lalai PHP. Pelanggan yang telah mengubah session.upload_progress.name tidak dilindungi oleh peraturan WAF tersebut.
Peraturan sedia ada “PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #6” melindungi daripada kerentanan ini.
Maklumat lanjut akan menyusul.
Pada 21 Oktober, Calif.io, Wiz, OpenAI dan Quarkslab mendedahkan dua kerentanan dalam PHP, yang dikesan sebagai CVE-2026-109618 dan CVE-2026-109619 dan dikenali sebagai php2shell. Kerentanan tersebut menjejaskan semua pelayan web yang menjalankan PHP 5.4 atau lebih baharu, dan ia boleh membenarkan penyerang menyebabkan penolakan perkhidmatan, pelaksanaan kod jarak jauh, serta pendedahan data apabila aplikasi memproses trafik HTTP yang direka khas.
Cloudflare telah menjadi sebahagian daripada usaha terselaras untuk melaksanakan mitigasi bagi melindungi Internet, dengan bekerjasama dengan PHP foundation, OpenAI dan Wiz, antara lain. Cloudflare telah membangunkan dan melaksanakan perlindungan web application firewall (WAF) sejak awal Oktober 2026, yang dilaksanakan kira-kira 9 jam sebelum pendedahan awam. Bermula pada 21 Oktober, 3:02 pagi UTC, pelanggan Cloudflare yang menggunakan WAF percuma atau berbayar kami dilindungi secara lalai terhadap php2shell.
Cloudflare berjaya melaksanakan beberapa mitigasi untuk semua pelanggannya semasa kerentanan tersebut dibocorkan sebelum tarikh keluaran rasmi, dan kami memerhatikan trafik serangan yang menyasarkan pelanggan kami. Kami memerhatikan bagaimana penyerang mengubah suai payload serangan untuk cuba memintas perlindungan kami dengan menjejaki isipadu padanan dan merujuk silang dengan logik peraturan.
Perlindungan terhadap php2shell memerlukan lebih daripada peraturan piawai berasaskan permintaan. Data permintaan sahaja tidak semestinya memberikan bukti yang cukup untuk membezakan eksploitasi daripada trafik sah. Respons origin menambah konteks, membantu mengenal pasti sama ada eksploitasi berjaya sambil mengurangkan risiko positif palsu.
Untuk menyampaikan perlindungan ini, kami telah membangunkan pengesanan transaksi penuh, iaitu keupayaan WAF Cloudflare baharu yang menggabungkan isyarat daripada permintaan dan respons dalam transaksi HTTP yang sama. Peraturan respons kemudiannya boleh menyekat respons asal yang sepadan sebelum ia sampai kepada peminta. Perlindungan php2shell ialah pengesanan terurus pertama yang kami keluarkan menggunakan keupayaan ini.
Pelanggan perlu menambal repository PHP mereka walaupun perlindungan WAF menyediakan lapisan tambahan bagi mitigasi pertahanan berlapis. Penganalisis keselamatan kami terus memantau aktiviti serangan dan mengemas kini peraturan apabila dan jika teknik dan variasi baharu muncul pada jam-jam dan hari-hari akan datang. Anda boleh menjejak peraturan baharu dalam changelog.
Perlindungan ini tersedia dan dipasang secara automatik pada semua pelan dengan WAF dipasang, termasuk pengguna Free.
Apa yang kami ketahui tentang kerentanan ini
PHP digunakan oleh hampir 70% laman web. Kerentanan php2shell menjejaskan runtime PHP itu sendiri dan boleh membolehkan penyerang melaksanakan kod berbahaya pada pelayan yang terdedah, mendedahkan data pelanggan, atau mengganggu perkhidmatan. Oleh kerana PHP menjadi asas bagi platform yang digunakan secara meluas seperti WordPress dan Magento, kecacatan ini berpotensi menjejaskan sebilangan besar aplikasi di seluruh Internet.
Dua kerentanan ini melibatkan cara PHP mengendalikan memori apabila berlaku masalah semasa memproses permintaan HTTP. Biasanya, PHP memperuntukkan memori untuk menyimpan data yang diperlukan untuk memproses permintaan, kemudian melepaskannya apabila kerja itu selesai. Jika pemprosesan berhenti secara tidak dijangka, contohnya kerana kehabisan memori, PHP gagal membersihkan memori dengan selamat. Kerentanan ini timbul apabila PHP mengendalikan ralat dan kemudian cuba menggunakan data yang tidak disediakan sepenuhnya atau memori yang telah dilepaskan.
Penyerang boleh menghantar permintaan HTTP yang direka khas untuk mencetuskan keadaan ini. Permintaan besar ialah satu cara untuk memberi tekanan kepada memori, tetapi masalah ini melangkaui penggunaan sumber pelayan. Dengan memanipulasi data yang ditemui PHP dalam memori tidak sah ini, penyerang mungkin boleh menjatuhkan proses PHP, mendedahkan maklumat sensitif, atau melaksanakan kod yang disediakan oleh penyerang.
Dua kerentanan ini berbeza dari segi apabila akses memori tidak selamat berlaku:
Kerentanan
Apa yang menjadi masalah
CVE-2026-109618
PHP kehabisan memori dan menghentikan kerjanya sebelum beberapa data dalaman dimulakan dengan betul. Semasa pembersihan permintaan itu, PHP mungkin menggunakan data yang belum selesai ini seolah-olah ia sah.
CVE-2026-109619
Ralat maut menghentikan permintaan, menyebabkan PHP memegang rujukan kepada memori yang dilepaskan apabila permintaan berakhir. Apabila proses PHP yang sama mengendalikan permintaan kemudian, ia mungkin mengikuti rujukan lapuk tersebut dan mengakses memori yang tidak lagi sah serta mendedahkan data sensitif.
Kelemahan ini terdapat dalam runtime PHP, jadi mengemas kini kod laman web atau plugin (atau lebih daripada satu plugin) sahaja tidak membaiki kerentanan ini. Pentadbir perlu mengemas kini perisian PHP yang menjalankan aplikasi mereka. Jika pembekal hosting menguruskan PHP, minta pembekal tersebut menerapkan kemas kini keselamatan.
Pentadbir boleh mengikuti nasihat PHP untuk versi terjejas dan arahan pembetulan. Kekalkan perlindungan Cloudflare WAF didayakan semasa menampal. Mengehadkan muat naik yang tidak perlu dan mengehadkan saiz muat naik juga boleh mengurangkan pendedahan, tetapi langkah-langkah ini tidak menggantikan pembetulan PHP.
Peraturan baharu
Untuk pelanggan Percuma, peraturan baharu telah dikeluarkan di bawah Cloudflare Managed Free Ruleset (Ruleset ID 77454fe2d30c4220b5701f6fdfb893ba). Pelanggan Percuma tidak perlu mengambil sebarang tindakan untuk mendayakan perlindungan ini. Untuk mengatasi tingkah laku ruleset tersebut, anda boleh merujuk kepada dokumentasi kami.
Penerangan Peraturan
ID Peraturan
PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619)
4e315666e8e344cdb64119a3b5ccf32f
PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #2
00c10e6cc4da4bd08722adeebcd95984
PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #3
48ddf592361e4fdb97a8a85982dab691
PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #4
3556683d512a47f2937899c524b1a4c6
PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #5
da07c85852e34625bb478496302ede46
PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #6
19373a83abb840e18ab3ce5a7975ce1b
PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #7
07f0b6ddaabf40b1b2042dade8d613fa
Perlindungan untuk pelan berbayar telah dilancarkan sebagai sebahagian daripada Cloudflare Managed Ruleset (Ruleset ID efb7b8c949ac4650a09736fc376e9aee). Jika anda menggunakan pelan Professional, Business, atau Enterprise, semak penggelaran Managed Ruleset anda untuk mengesahkan penggelaran tersebut telah menggunakan mod block.
Penerangan Peraturan
ID Peraturan
Serangan PHP Remote Code Execution (CVE-2026-109618, CVE-2026-109619)
c1d409ad838f47f59446f21cc438d5dd
Serangan PHP Remote Code Execution (CVE-2026-109618, CVE-2026-109619) #2
f9a45927414245e3a64bb12d0a0c2f64
Serangan PHP Remote Code Execution (CVE-2026-109618, CVE-2026-109619) #3
771c654ae1154d4daa72f4e1545d163c
Serangan PHP Remote Code Execution (CVE-2026-109618, CVE-2026-109619) #4
217005865f0145f392300bac212afcc9
Serangan PHP Remote Code Execution (CVE-2026-109618, CVE-2026-109619) #5
38efdb17ea594501bb55a1d71867b12e
Serangan PHP Remote Code Execution (CVE-2026-109618, CVE-2026-109619) #6
4148ae686fdb4d01be673fab9d9c073d
Serangan PHP Remote Code Execution (CVE-2026-109618, CVE-2026-109619) #7
1389aa259617437392ce149c48143645
Untuk mengenal pasti percubaan eksploitasi dengan lebih baik, Cloudflare telah membangunkan full transaction detection, iaitu keupayaan WAF baharu yang menganalisis kedua-dua belah transaksi HTTP yang sama. Walaupun beberapa payload berniat jahat dapat dikenal pasti menggunakan request sahaja, response mengandungi isyarat berguna yang boleh digunakan untuk mencipta peraturan dengan keyakinan lebih tinggi, sekali gus mengurangkan positif palsu. Peraturan full transaction yang sepadan boleh menyekat response origin sebelum ia sampai kepada peminta. Ketahui cara ia berfungsi dalam catatan blog full transaction detection kami.
Cloudflare Managed Response Firewall Default baharu telah digelarkan secara automatik untuk pelanggan pada semua pelan, termasuk pelan Free. Untuk mengesahkan bahawa peraturan response aktif, anda boleh melawati halaman Security > Security Rules. Baca blog full transaction untuk mengetahui cara menyesuaikan penggelarannya.
Semak peristiwa dan sesuaikan perlindungan
Untuk menganalisis permintaan yang disekat, lawati Security > Security Analytics > Events. Tapis mengikut ID peraturan dalam jadual di atas dan periksa permintaan yang sepadan, tindakan, dan laluan. Events mengenal pasti sama ada tindakan itu datang daripada peraturan terurus atau peraturan tersuai. Pelanggan yang perlu menyesuaikan perlindungan boleh mengemas kini skop Managed Ruleset kepada bahagian aplikasi yang berkenaan.
Kemas kini PHP dan kekalkan perlindungan diaktifkan
Pelanggan Cloudflare yang menggunakan Managed Ruleset kami dilindungi secara lalai. Kami mengesyorkan agar mengikuti cadangan nasihat dan mengaplikasikan kemas kini vendor ke repositori PHP anda secepat mungkin sambil mengekalkan perlindungan WAF diaktifkan sebagai perlindungan tambahan. Penganalisis WAF kami akan terus mengemas kini perlindungan apabila teknik baharu muncul.
Tag berkaitan
Ikuti di Media Sosial
Kami tidak akan berkongsi alamat e-mel anda.
Terima kasih kerana melanggan! Sila semak peti masuk anda untuk mengesahkan.
Sumber Rujukan:
- Artikel asal: Cloudflare Blog
- Diterjemah daripada artikel asal ke Bahasa Melayu oleh AI Editorial – haqis.com
