Cloudflare · PHP2Shell

Cloudflare und PHP2Shell

Cloudflare aktivierte PHP2Shell-Schutz für alle WAF-Tarife am 21. Oktober 2026 um 03:02 UTC.

Zuletzt geprüft 2026-10-22

Eine WAF verschafft Zeit, ist aber nicht die Lösung

Cloudflare berichtet selbst, dass Angreifer Payloads verändern, um an den Regeln vorbeizukommen, und dass die Regeln bei neuen Varianten nachgezogen werden. Jeder Request, der Ihren Server ohne Umweg über Cloudflare erreicht, wird nicht gefiltert. PHP patchen.

Regel-IDs

Cloudflare Managed Free Ruleset

Ruleset 77454fe2d30c4220b5701f6fdfb893ba

  1. 4e315666e8e344cdb64119a3b5ccf32f · Anomalous Execution 1
  2. 00c10e6cc4da4bd08722adeebcd95984 · Anomalous Execution 2
  3. 48ddf592361e4fdb97a8a85982dab691 · Anomalous Execution 3
  4. 3556683d512a47f2937899c524b1a4c6 · Anomalous Execution 4
  5. da07c85852e34625bb478496302ede46 · Anomalous Execution 5
  6. 19373a83abb840e18ab3ce5a7975ce1b · Anomalous Execution 6
  7. 07f0b6ddaabf40b1b2042dade8d613fa · Anomalous Execution 7

Cloudflare Managed Ruleset (Pro / Business / Enterprise)

Ruleset efb7b8c949ac4650a09736fc376e9aee

  1. c1d409ad838f47f59446f21cc438d5dd · Anomalous Execution 1
  2. f9a45927414245e3a64bb12d0a0c2f64 · Anomalous Execution 2
  3. 771c654ae1154d4daa72f4e1545d163c · Anomalous Execution 3
  4. 217005865f0145f392300bac212afcc9 · Anomalous Execution 4
  5. 38efdb17ea594501bb55a1d71867b12e · Anomalous Execution 5
  6. 4148ae686fdb4d01be673fab9d9c073d · Anomalous Execution 6
  7. 1389aa259617437392ce149c48143645 · Anomalous Execution 7

Zusätzlich auf allen Plänen: Cloudflare Managed Response Firewall Default — afffe22785674c80a31875c848d2242a („Default block for High confidence Signatures“). Diese Regel prüft auch die Antwort Ihres Origins und kann so eine Antwort mit abgeflossenem Speicher stoppen, bevor sie beim Angreifer ankommt.

Warum Antworten prüfen?

Request- und Antwortsignale helfen, abgeflossene Daten vor der Auslieferung zu blockieren. Sie patchen PHP nicht. Cloudflares Erklärung.

Prüfen, ob es wirkt

  1. DNS → Records: Jeder Hostname, der PHP ausliefert, ist geproxied (orange Wolke). Einträge mit grauer Wolke umgehen die WAF.
  2. Security → WAF → Managed rules (kostenpflichtige Pläne): Das Cloudflare Managed Ruleset ist aktiv und die Aktion ist Block, nicht Log.
  3. Security → Analytics → Events: Nach den Regel-IDs oben filtern, um zu sehen, was blockiert wurde und woher.
  4. Origin abschotten: Stellen Sie sicher, dass der Server HTTP nur von Cloudflare-IPs annimmt (oder Cloudflare Tunnel nutzt).
shell
# Is your origin reachable without Cloudflare? Run from outside your network.
# A normal response here means attackers can skip the WAF.
curl -sk -o /dev/null -w '%{http_code}\n' --resolve www.example.com:443:<ORIGIN_IP> https://www.example.com/

# Lock the origin to Cloudflare (nginx example; keep the list current from
# https://www.cloudflare.com/ips/)
# allow 173.245.48.0/20;  ...  deny all;

Fragen

Schützt mich Cloudflare vor PHP2Shell?+

Es senkt das Risiko. Cloudflare hat am 21. Oktober 2026 um 03:02 UTC verwaltete WAF-Regeln für alle Pläne, auch Free, live geschaltet und meldet, frühe Angriffe zu blockieren. Angreifer verändern aber Payloads, und Requests, die Ihren Origin direkt erreichen, umgehen Cloudflare komplett. Sie müssen PHP trotzdem patchen.

Muss ich im Free-Plan etwas tun?+

Free-Pläne sind automatisch über das Cloudflare Managed Free Ruleset geschützt, solange der Traffic geproxied ist (orange Wolke). Prüfen Sie, dass Ihre DNS-Einträge geproxied sind und der Origin nicht an Cloudflare vorbei erreichbar ist.

Was sollten Kunden mit kostenpflichtigem Plan prüfen?+

Dass das Cloudflare Managed Ruleset aktiv ist und die PHP2Shell-Regeln auf Block stehen, nicht auf Log. Filtern Sie dann die Security Events nach den Regel-IDs, um Treffer zu sehen.

Verwandte Seiten