# Cloudflare закрыл php2shell на уровне WAF: что это значит для PHP-серверов

> 2026-10-26 · AI Release · @ai_release1

> #php #cloudflare #waf #кибербезопасность #инфобез #AI

### ⚡ Главное за 5 секунд - Cloudflare развернула правила WAF против php2shell — уязвимостей в самом рантайме PHP, через которые на сервер затаскивают чужой код. - Фильтр срабатывает на краю сети Cloudflare, до того как запрос дойдёт до вашего сервера. - Это не заплатка для PHP: если домен не идёт через Cloudflare, правила вам ничего не дают. ### 🔍 Что случилось Cloudflare опубликовала в блоге пост о развёртывании защит против php2shell. Речь про дыры не в плагине, не в CMS и не в конкретном фреймворке, а в самом рантайме PHP. По описанию из повода, эксплуатация даёт атакующему выполнить вредоносный код на уязвимом сервере и добраться до данных, которые на нём лежат. Название «php2shell» читается как путь от PHP до полноценной оболочки на машине — это наша расшифровка, не цитата из источника. Механика защиты такая: Cloudflare включила набор правил в своём веб-файрволе. WAF смотрит на HTTP-запрос до origin — заголовки, параметры, тело — и режет то, что похоже на попытку эксплуатации. Запрос до PHP-интерпретатора просто не доезжает. Включение занимает минуты в панели, без ssh, apt и перезапуска php-fpm. Обновление самого рантайма — совсем другая история. ### 🧠 Наш разбор PHP держит огромный кусок веба, и это главная причина, почему новость вообще важна. Дырка в рантайме означает, что патч — это не «поставить плагин», а поднять версию PHP на каждом хосте. На shared-хостинге с сотнями сайтов на одной машине такой апгрейд растягивается на недели: кто-то сломает старый код, кто-то просто не заметит. Наша оценка: именно поэтому защита на периметре выходит первой — она снимает давление здесь и сейчас, пока админы разбираются с версиями. Что это меняет для конкретного человека. Если ваш домен идёт через Cloudflare, вы получили обходной фильтр бесплатно и почти без действий — но только как обходной. Если не идёт, у вас не изменилось ничего, и единственный путь — обновлять PHP. Вторая перемена тоньше: WAF становится страховкой от «пока патч не выйдет». Это удобно, и это же опасно, потому что привычка «включу правило и забуду» копится годами. Кто выигрывает. Cloudflare — очередной аргумент в пользу «держите трафик у нас», и это, похоже, управляемые правила из стандартного набора. Хостинги, которым не придётся в панике обновлять всё за сутки. Проигрывают те, кто стоит на старом PHP без прокси и без ресурсов на миграцию, — а таких, по моему опыту, больше, чем хочется думать. ### ⚠️ Чего мы не знаем Повод — обрезанный снипет, и в нём нет самого нужного: ни CVE-идентификаторов, ни списка уязвимых версий PHP, ни данных о том, фиксируют ли эксплуатацию вживую. Непонятно, входят ли правила в бесплатный управляемый набор или это платная опция. Нет и оценки, насколько легко обойти фильтр обфускацией payload. Поэтому читайте сам пост Cloudflare и проверяйте свою версию PHP по официальным каналам проекта, а не по пересказу. ### 💬 О чём спорить - Вопрос 1: пока патча нет, ставить WAF-правила и ждать или сразу поднимать версию PHP, рискуя уронить старый код? - Вопрос 2: кто должен закрывать такие дыры — хостинг, который держит устаревший PHP, или клиент, который просто арендует место? - Вопрос 3: отфильтрует ли WAF обфусцированный эксплойт, или правила ловят только «школьные» попытки? **Прогноз:** в течение квартала крупные shared-хостинги начнут принудительно переводить аккаунты с затронутых ветвей PHP на актуальные — если только не окажется, что эксплуатация требует экзотической конфигурации. **Источник:** Cloudflare Blog

[Источник](https://blog.cloudflare.com/php-vulnerabilities-waf-protection)