Cloudflare پیش از افشای عمومی، دفاع پیش‌فرض در برابر آسیب‌پذیری‌های php2shell را فعال کرد

Cloudflare می‌گوید از ۲۱ اکتبر، ساعت ۳:۰۲ بامداد به‌وقت UTC، همهٔ مشتریان WAF این شرکت—با طرح رایگان یا پولی—به‌طور پیش‌فرض در برابر تلاش‌های شناخته‌شده برای بهره‌برداری از دو آسیب‌پذیری PHP با شناسه‌های CVE-2026-109618 و CVE-2026-109619 محافظت شده‌اند. این قواعد حدود ۹ ساعت پیش از افشای عمومی آسیب‌پذیری‌ها فعال شدند.

این آسیب‌پذیری‌ها که با نام php2shell شناخته می‌شوند، وب‌سرورهای مجهز به PHP نسخهٔ ۵.۴ یا بالاتر را در معرض خطر قرار می‌دهند. بنا بر گزارش Cloudflare، ترافیک HTTP دست‌کاری‌شده می‌تواند باعث اختلال در سرویس، اجرای کد از راه دور یا افشای داده شود. این شرکت می‌گوید مهاجمان پیش از انتشار رسمی، حمله‌هایی را علیه مشتریانش آغاز کردند و شکل محموله‌های حمله را برای دور زدن قواعد دفاعی تغییر می‌دادند.

Cloudflare برای شناسایی حمله‌ها قابلیتی به نام full transaction detection توسعه داده است که نشانه‌های موجود در درخواست و پاسخ سرور را در یک تراکنش HTTP کنار هم می‌سنجد. به‌گفتهٔ شرکت، بررسی درخواست به‌تنهایی همیشه برای تشخیص سوءاستفاده از ترافیک عادی کافی نیست؛ پاسخ سرور می‌تواند نشان دهد حمله موفق شده است و در عین حال احتمال مسدودشدن درخواست‌های سالم را کاهش دهد.

در به‌روزرسانی ۲۳ اکتبر، پروژهٔ PHP یک هشدار اطلاع‌رسانی دربارهٔ آسیب‌پذیری مرتبط CVE-2026-115560 در قابلیت session upload progress منتشر کرد. این نقص حتی نسخه‌های کاملاً به‌روز PHP، از جمله 8.5.12، را دربرمی‌گیرد و قرار است در انتشار عادی بعدی PHP برطرف شود. Cloudflare می‌گوید مشتریان WAF در برابر تلاش‌های شناخته‌شده محافظت می‌شوند، مشروط بر اینکه سایت از نام پیش‌فرض فیلد upload progress در PHP استفاده کند؛ سایت‌هایی که مقدار session.upload_progress.name را تغییر داده‌اند، مشمول این قاعده نیستند. قاعدهٔ موجود با عنوان «PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #6» نیز از این آسیب‌پذیری محافظت می‌کند.