Cloudflare · PHP2Shell

Cloudflare et PHP2Shell

Cloudflare a activé la protection PHP2Shell sur toutes les offres WAF le 21 octobre 2026 à 03:02 UTC.

Dernière vérification 2026-10-22

Un WAF fait gagner du temps, ce n’est pas la correction

Cloudflare signale lui-même que des attaquants modifient leurs charges pour passer entre les règles, et que celles-ci sont mises à jour à mesure que de nouvelles variantes apparaissent. Toute requête qui atteint votre serveur sans passer par Cloudflare n’est pas filtrée. Mettez PHP à jour.

Identifiants des règles

Cloudflare Managed Free Ruleset

ruleset 77454fe2d30c4220b5701f6fdfb893ba

  1. 4e315666e8e344cdb64119a3b5ccf32f · Anomalous Execution 1
  2. 00c10e6cc4da4bd08722adeebcd95984 · Anomalous Execution 2
  3. 48ddf592361e4fdb97a8a85982dab691 · Anomalous Execution 3
  4. 3556683d512a47f2937899c524b1a4c6 · Anomalous Execution 4
  5. da07c85852e34625bb478496302ede46 · Anomalous Execution 5
  6. 19373a83abb840e18ab3ce5a7975ce1b · Anomalous Execution 6
  7. 07f0b6ddaabf40b1b2042dade8d613fa · Anomalous Execution 7

Cloudflare Managed Ruleset (Pro / Business / Enterprise)

ruleset efb7b8c949ac4650a09736fc376e9aee

  1. c1d409ad838f47f59446f21cc438d5dd · Anomalous Execution 1
  2. f9a45927414245e3a64bb12d0a0c2f64 · Anomalous Execution 2
  3. 771c654ae1154d4daa72f4e1545d163c · Anomalous Execution 3
  4. 217005865f0145f392300bac212afcc9 · Anomalous Execution 4
  5. 38efdb17ea594501bb55a1d71867b12e · Anomalous Execution 5
  6. 4148ae686fdb4d01be673fab9d9c073d · Anomalous Execution 6
  7. 1389aa259617437392ce149c48143645 · Anomalous Execution 7

En plus, sur toutes les offres : Cloudflare Managed Response Firewall Default — afffe22785674c80a31875c848d2242a (« Default block for High confidence Signatures »). Elle inspecte aussi la réponse de votre serveur d’origine et peut ainsi bloquer une réponse contenant de la mémoire divulguée avant qu’elle n’atteigne l’attaquant.

Pourquoi inspecter les réponses ?

Les signaux des requêtes et réponses aident à bloquer les données divulguées avant livraison. Ils ne corrigent pas PHP. Explication de Cloudflare.

Vérifier que cela fonctionne

  1. DNS → Records : chaque nom d’hôte qui sert du PHP passe par le proxy (nuage orange). Les enregistrements en nuage gris contournent le WAF.
  2. Security → WAF → Managed rules (offres payantes) : le Cloudflare Managed Ruleset est déployé et l’action est Block, pas Log.
  3. Security → Analytics → Events : filtrez sur les identifiants ci-dessus pour voir ce qui a été bloqué et d’où.
  4. Verrouillage de l’origine : assurez-vous que le serveur n’accepte le HTTP que depuis les IP de Cloudflare (ou utilise Cloudflare Tunnel).
shell
# Is your origin reachable without Cloudflare? Run from outside your network.
# A normal response here means attackers can skip the WAF.
curl -sk -o /dev/null -w '%{http_code}\n' --resolve www.example.com:443:<ORIGIN_IP> https://www.example.com/

# Lock the origin to Cloudflare (nginx example; keep the list current from
# https://www.cloudflare.com/ips/)
# allow 173.245.48.0/20;  ...  deny all;

Questions

Cloudflare me protège-t-il de PHP2Shell ?+

Il réduit le risque. Cloudflare a activé des règles WAF gérées pour toutes les offres, Free comprise, le 21 octobre 2026 à 03:02 UTC, et indique bloquer de premières attaques. Mais les attaquants modifient leurs charges, et les requêtes qui atteignent directement votre origine contournent entièrement Cloudflare. Vous devez quand même mettre PHP à jour.

Dois-je faire quelque chose avec l’offre Free ?+

Les offres Free sont protégées automatiquement par le Cloudflare Managed Free Ruleset tant que le trafic passe par le proxy (nuage orange). Vérifiez que vos enregistrements DNS sont proxifiés et que l’origine n’est pas joignable en contournant Cloudflare.

Que doivent vérifier les clients des offres payantes ?+

Que le Cloudflare Managed Ruleset est déployé et que les règles PHP2Shell sont en mode Block, pas Log. Filtrez ensuite les Security Events par identifiant de règle pour voir les correspondances.

Voir aussi