Cloudflare triển khai WAF chống php2shell, quản trị viên vẫn cần vá PHP
Cloudflare công bố lớp bảo vệ WAF cho php2shell trên cả gói Free. Đội vận hành cần rà soát PHP runtime và triển khai bản vá, thay vì chỉ dựa vào chặn lưu lượng ở biên.
Vibe DevOps biên soạn ngày · khoảng 433 từ
Điểm chính từ bài gốc
- Theo Cloudflare, php2shell ảnh hưởng PHP 5.4 trở lên, có thể dẫn đến gián đoạn dịch vụ, lộ dữ liệu hoặc thực thi mã từ xa.
- Biện pháp WAF được triển khai cho cả khách hàng Free; hãng ghi nhận lưu lượng tấn công và biến thể payload.
- Lỗi nằm trong PHP runtime: chỉ cập nhật mã website hoặc plugin không khắc phục được.
Theo bài gốc
Lớp bảo vệ tại biên đã thay đổi gì?
Trong bài công bố ngày 2026-10-21, Cloudflare cho biết đã triển khai bảo vệ trước thời điểm công khai php2shell. Hai lỗi được định danh CVE-2026-109618 và CVE-2026-109619, liên quan đến xử lý bộ nhớ khi yêu cầu HTTP gặp lỗi.
Hãng sử dụng full transaction detection, kết hợp tín hiệu từ request và response trong cùng giao dịch HTTP. Quy tắc có thể chặn phản hồi từ origin trước khi gửi đến người yêu cầu; đây không chỉ là lọc nội dung request.
Theo bài gốc
WAF không thay bản vá runtime
Cloudflare khuyến nghị cập nhật PHP dù đã có WAF. Với dịch vụ hosting quản lý runtime, quản trị viên cần yêu cầu nhà cung cấp áp dụng bản sửa lỗi. Hạn chế upload không cần thiết và kích thước tệp chỉ giúp giảm phơi nhiễm, không thay thế bản vá.
Khách hàng trả phí được khuyến nghị xác nhận Managed Ruleset đang ở chế độ block. Sự kiện bảo mật cho phép xem yêu cầu bị khớp, hành động xử lý và đường dẫn liên quan.
Bình luận của Vibe DevOps — không phải nội dung bài gốc
Điều đội vận hành nên kiểm tra
Góc nhìn Vibe DevOps: Nên tách việc giảm rủi ro tại biên khỏi việc sửa runtime. Lập danh sách ứng dụng PHP, người chịu trách nhiệm và nơi quản lý phiên bản; tránh chỉ kiểm tra website chính mà bỏ sót dịch vụ phụ.
Khi lên lịch vá, chuẩn bị kiểm tra chức năng quan trọng và phương án khôi phục. Theo dõi lỗi ứng dụng cùng sự kiện WAF để phân biệt lỗi sau nâng cấp với lưu lượng bị chặn. Không coi việc chưa thấy cảnh báo là bằng chứng hệ thống an toàn.
⚠️ Lưu ý và giới hạn
- Thông tin bảo vệ và lưu lượng tấn công do Cloudflare công bố, không phải kết quả kiểm thử độc lập của Vibe DevOps.
- Đọc advisory PHP để xác định bản sửa phù hợp; bản tin không cung cấp phiên bản vá cụ thể.