Cloudflare 官方刚刚发布的一篇核弹级安全警报与技术复盘。核心事件是今天（2026年10月21日）刚刚公开披露的 PHP 史诗级底层漏洞——php2… · @mylifcc · TwKit

@mylifcc

Cloudflare 官方刚刚发布的一篇核弹级安全警报与技术复盘。核心事件是今天（2026年10月21日）刚刚公开披露的 PHP 史诗级底层漏洞——php2shell（编号 CVE-2026-109618 和 CVE-2026-109619）。 4 个最关键的信息点： • 波及面极广、危害极大（“PHP 界的 Log4Shell”级别） • 谁发现的？ 由 OpenAI、Wiz、http://Calif.io 和 Quarkslab 联合发现并披露。 • 影响谁？ 影响全球所有运行 PHP 5.4 及以上版本 的 Web 服务器（全球近 70% 的网站都在用 PHP，包括 WordPress、Magento 等底层）。 • 有什么后果？ 攻击者只需发送特殊构造的 HTTP 请求，就能触发 远程代码执行（RCE，直接拿服务器 Shell 权限）、敏感数据泄露 或 拒绝服务（DoS）。而且因为这是 PHP 运行时（Runtime）底层的漏洞，只更新网站代码或 WordPress 插件完全没用，必须升级底层 PHP 版本！ • 技术原理：内存“异常中断”引发的连环车祸 • CVE-2026-109618（未初始化内存使用）： 攻击者发超大/特殊请求把 PHP 内存撑爆（OOM），导致请求处理在一半时被迫中断。PHP 在清理现场时，把还没初始化完的半成品数据当成合法数据去执行，直接被黑客注入代码。 • CVE-2026-109619（释放后重用 / UAF）： 致命错误（Fatal Error）打断请求后，内存虽然释放了，但 PHP 进程还留着指向那块内存的“过期指针”。等下一个正常请求进来复用这个 PHP 进程时，顺着旧指针读到了脏数据，直接导致其他用户的敏感数据泄露或被攻击。 • 真实暗战：漏洞在正式公开前就已经泄漏并遭黑客狂轰滥炸 • 在官方正式解禁前，这个漏洞就已经在暗中泄漏。Cloudflare 监控到了大量在野攻击流量，甚至亲眼目睹黑客在实时变异 Payload（攻击载荷），试图绕过防火墙规则。 • Cloudflare 提前 9 小时 紧急为所有用户（包括 Free 免费版用户）默认上线了 WAF 拦截规则。 • Cloudflare 的大招：首发“全事务检测（Full Transaction Detection）” • 以前 WAF 防火墙只看“进来的请求（Request）”长什么样，但 php2shell 靠超大请求或异常触发，单看请求很容易误杀正常业务。 • Cloudflare 为此首次推出了 Full Transaction Detection（全事务检测）：同时结合进来的请求信号 + 源站返回的响应（Response）信号。如果发现源站响应里出现了被攻破或内存泄露的特征，WAF 会在响应返回给黑客前的最后一秒把它拦截掐断！

曝光 654 · 评论 1 · 点赞 2 · 书签 1