重點整理
- 【搶先】10月21日 UTC 凌晨3時02分起，比漏洞公開早約9小時上線防護規則
- 【全面】免費與付費方案都預設開啟，免費方案不需任何設定
- 【新招】首度用「完整交易偵測」，可在惡意回應送出前攔截
網路基礎設施業者 Cloudflare 表示，針對 PHP2Shell 漏洞（CVE-2026-109618、CVE-2026-109619）的網頁應用程式防火牆（WAF）規則，從10月初開始開發，並在10月21日 UTC 凌晨3時02分上線，比漏洞公開早約9小時；免費與付費方案的客戶都預設受到保護。
Cloudflare 指出，已觀察到針對客戶的攻擊流量，攻擊者也會變換攻擊內容來試圖繞過規則，但未公布攻擊數量。BBC 報導引述 Cloudflare 技術長 Dane Knecht 表示，公司「看到早期攻擊正在出現，並隨新的攻擊手法更新防護」。
這次 Cloudflare 首度推出「完整交易偵測」（full transaction detection）的託管規則，同時比對同一筆 HTTP 交易中的請求與回應，可以在源站送出符合特徵的惡意回應前就加以攔截，也有助確認攻擊是否成功、減少誤判。免費方案的託管免費規則集有7條相關規則，不需任何設定；Pro、Business、Enterprise 方案則有7條託管規則，客戶應確認已設為封鎖模式；回應防火牆預設規則則對所有方案自動部署。
Cloudflare 強調，客戶仍應盡快依 PHP 官方公告更新，只更新網站程式或外掛無法修補漏洞；由主機商管理 PHP 的網站，應請主機商完成更新。修補期間應保持 WAF 防護開啟，限制上傳與上傳大小可降低風險，但不能取代 PHP 修補。
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
- Cloudflare：Cloudflare deploys protections against php2shell vulnerability
- BBC：Websites taken down worldwide as critical cyber-security update issued
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各資安公司、雲端業者公告及國內外媒體報導整理，資訊更新至2026年10月23日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。