Cloudflare · PHP2Shell

Cloudflare en PHP2Shell

Cloudflare activeerde PHP2Shell-bescherming op alle WAF-abonnementen op 21 oktober 2026 om 03:02 UTC.

Laatst gecontroleerd 2026-10-22

Een WAF koopt tijd, het is geen oplossing

Cloudflare meldt zelf dat aanvallers payloads aanpassen om langs de regels te glippen, en dat de regels worden bijgewerkt zodra nieuwe varianten opduiken. Elke request die je server bereikt zonder via Cloudflare te gaan, wordt niet gefilterd. Patch PHP.

Regel-ID’s

Cloudflare Managed Free Ruleset

ruleset 77454fe2d30c4220b5701f6fdfb893ba

  1. 4e315666e8e344cdb64119a3b5ccf32f · Anomalous Execution 1
  2. 00c10e6cc4da4bd08722adeebcd95984 · Anomalous Execution 2
  3. 48ddf592361e4fdb97a8a85982dab691 · Anomalous Execution 3
  4. 3556683d512a47f2937899c524b1a4c6 · Anomalous Execution 4
  5. da07c85852e34625bb478496302ede46 · Anomalous Execution 5
  6. 19373a83abb840e18ab3ce5a7975ce1b · Anomalous Execution 6
  7. 07f0b6ddaabf40b1b2042dade8d613fa · Anomalous Execution 7

Cloudflare Managed Ruleset (Pro / Business / Enterprise)

ruleset efb7b8c949ac4650a09736fc376e9aee

  1. c1d409ad838f47f59446f21cc438d5dd · Anomalous Execution 1
  2. f9a45927414245e3a64bb12d0a0c2f64 · Anomalous Execution 2
  3. 771c654ae1154d4daa72f4e1545d163c · Anomalous Execution 3
  4. 217005865f0145f392300bac212afcc9 · Anomalous Execution 4
  5. 38efdb17ea594501bb55a1d71867b12e · Anomalous Execution 5
  6. 4148ae686fdb4d01be673fab9d9c073d · Anomalous Execution 6
  7. 1389aa259617437392ce149c48143645 · Anomalous Execution 7

Daarnaast op alle abonnementen: Cloudflare Managed Response Firewall Default — afffe22785674c80a31875c848d2242a (“Default block for High confidence Signatures”). Deze regel bekijkt ook het antwoord van je origin, en kan zo een antwoord met gelekt geheugen tegenhouden voordat het de aanvaller bereikt.

Waarom antwoorden inspecteren?

Signalen uit requests en antwoorden helpen gelekte gegevens vóór aflevering te blokkeren. Ze patchen PHP niet. Uitleg van Cloudflare.

Controleer of het werkt

  1. DNS → Records: elke hostnaam die PHP serveert, is geproxied (oranje wolk). Records met een grijze wolk omzeilen de WAF.
  2. Security → WAF → Managed rules (betaalde abonnementen): de Cloudflare Managed Ruleset is actief en de actie is Block, niet Log.
  3. Security → Analytics → Events: filter op de regel-ID’s hierboven om te zien wat is geblokkeerd en vanaf waar.
  4. Origin afschermen: zorg dat de server alleen HTTP accepteert van Cloudflare-IP’s (of Cloudflare Tunnel gebruikt).
shell
# Is your origin reachable without Cloudflare? Run from outside your network.
# A normal response here means attackers can skip the WAF.
curl -sk -o /dev/null -w '%{http_code}\n' --resolve www.example.com:443:<ORIGIN_IP> https://www.example.com/

# Lock the origin to Cloudflare (nginx example; keep the list current from
# https://www.cloudflare.com/ips/)
# allow 173.245.48.0/20;  ...  deny all;

Vragen

Beschermt Cloudflare mij tegen PHP2Shell?+

Het verkleint het risico. Cloudflare zette op 21 oktober 2026 om 03:02 UTC beheerde WAF-regels live voor alle abonnementen, ook Free, en meldt dat het vroege aanvallen blokkeert. Maar aanvallers passen payloads aan, en requests die je origin direct bereiken omzeilen Cloudflare volledig. Je moet PHP nog steeds patchen.

Moet ik op het Free-abonnement iets doen?+

Free-abonnementen worden automatisch beschermd door de Cloudflare Managed Free Ruleset, zolang het verkeer geproxied is (oranje wolk). Controleer dat je DNS-records geproxied zijn en dat de origin niet buiten Cloudflare om bereikbaar is.

Wat moeten klanten met een betaald abonnement controleren?+

Dat de Cloudflare Managed Ruleset actief is en dat de PHP2Shell-regels op Block staan, niet op Log. Filter daarna Security Events op de regel-ID’s om treffers te zien.

Gerelateerd