Cloudflare · PHP2Shell

Cloudflare と PHP2Shell

Cloudflare は 2026 年 10 月 21 日 03:02 UTC に、全 WAF プランで PHP2Shell 対策を有効にしました。

最終確認 2026-10-22

WAF は時間稼ぎであって、修正ではない

Cloudflare 自身も、攻撃者がルールをすり抜けるためにペイロードを変形させており、新しい亜種が出るたびにルールを更新していると報告しています。Cloudflare を経由せずにサーバーへ届くリクエストはフィルタリングされません。PHP を更新してください。

ルール ID

Cloudflare Managed Free Ruleset

ルールセット 77454fe2d30c4220b5701f6fdfb893ba

  1. 4e315666e8e344cdb64119a3b5ccf32f · Anomalous Execution 1
  2. 00c10e6cc4da4bd08722adeebcd95984 · Anomalous Execution 2
  3. 48ddf592361e4fdb97a8a85982dab691 · Anomalous Execution 3
  4. 3556683d512a47f2937899c524b1a4c6 · Anomalous Execution 4
  5. da07c85852e34625bb478496302ede46 · Anomalous Execution 5
  6. 19373a83abb840e18ab3ce5a7975ce1b · Anomalous Execution 6
  7. 07f0b6ddaabf40b1b2042dade8d613fa · Anomalous Execution 7

Cloudflare Managed Ruleset (Pro / Business / Enterprise)

ルールセット efb7b8c949ac4650a09736fc376e9aee

  1. c1d409ad838f47f59446f21cc438d5dd · Anomalous Execution 1
  2. f9a45927414245e3a64bb12d0a0c2f64 · Anomalous Execution 2
  3. 771c654ae1154d4daa72f4e1545d163c · Anomalous Execution 3
  4. 217005865f0145f392300bac212afcc9 · Anomalous Execution 4
  5. 38efdb17ea594501bb55a1d71867b12e · Anomalous Execution 5
  6. 4148ae686fdb4d01be673fab9d9c073d · Anomalous Execution 6
  7. 1389aa259617437392ce149c48143645 · Anomalous Execution 7

さらに全プラン共通で：Cloudflare Managed Response Firewall Default——afffe22785674c80a31875c848d2242a（「Default block for High confidence Signatures」）。オリジンのレスポンスも検査するため、漏えいしたメモリを含むレスポンスが攻撃者に届く前にブロックできます。

レスポンスも検査する理由

リクエストとレスポンスの情報を組み合わせ、漏えいデータの送信を阻止します。PHP 自体の修正ではありません。Cloudflare の説明。

動作していることを確認する

  1. DNS → Records：PHP を配信するすべてのホスト名がプロキシ経由（オレンジの雲）になっていること。グレーの雲のレコードは WAF を迂回します。
  2. Security → WAF → Managed rules（有料プラン）：Cloudflare Managed Ruleset がデプロイされ、アクションが Log ではなく Block になっていること。
  3. Security → Analytics → Events：上記のルール ID で絞り込み、何がどこからブロックされたかを確認。
  4. オリジンのロックダウン：サーバーが Cloudflare の IP からの HTTP だけを受け付ける（または Cloudflare Tunnel を使う）ようにしてください。
shell
# Is your origin reachable without Cloudflare? Run from outside your network.
# A normal response here means attackers can skip the WAF.
curl -sk -o /dev/null -w '%{http_code}\n' --resolve www.example.com:443:<ORIGIN_IP> https://www.example.com/

# Lock the origin to Cloudflare (nginx example; keep the list current from
# https://www.cloudflare.com/ips/)
# allow 173.245.48.0/20;  ...  deny all;

よくある質問

Cloudflare で PHP2Shell から守られますか？+

リスクは下がります。Cloudflare は 2026 年 10 月 21 日 03:02 UTC に、Free を含む全プランでマネージド WAF ルールを有効にし、初期の攻撃をブロックしていると報告しています。しかし攻撃者はペイロードを変形させており、オリジンに直接届くリクエストは Cloudflare を完全に迂回します。PHP の更新は依然として必要です。

Free プランでは何か操作が必要ですか？+

トラフィックがプロキシ経由（オレンジの雲）であれば、Free プランは Cloudflare Managed Free Ruleset で自動的に保護されます。DNS レコードがプロキシ経由になっていること、Cloudflare を迂回してオリジンにアクセスできないことを確認してください。

有料プランの利用者は何を確認すべきですか？+

Cloudflare Managed Ruleset がデプロイされ、PHP2Shell 関連のルールが Log ではなく Block になっていること。そのうえで Security Events をルール ID で絞り込み、検知状況を確認してください。

関連ページ