Cloudflare 上线 php2shell 防护：所有套餐自动生效 — Hacker News 中文摘要
来源：blog.cloudflare.com — 52 分
📋 概述
Cloudflare 为刚披露的 php2shell 漏洞默认部署了 WAF 规则，所有已启用 WAF 的套餐（包括免费用户）自动生效。技术上它用了一个新能力“full transaction detection”：把同一 HTTP 事务里的请求与响应信号合起来判断，能在恶意响应回到请求方之前就拦下，从而提高识别率、压低误报。官方强调 WAF 只是纵深防御，该打的补丁还得打。
🔑 核心要点
- php2shell 是PHP 运行时层面的内存处理缺陷，改代码或插件都修不掉。
- 两条利用路径分别是内存耗尽时使用未初始化数据，以及致命错误后引用已释放内存。
- 新上线的 full transaction detection 首次把响应侧信号纳入同事务判定。
- 规则默认部署、自动生效，不需要客户自己开。
- 官方建议在打补丁期间保持 WAF 开启，并限制不必要的上传与上传体积。
💡 金句
Customers should patch their PHP repos even with WAF protections providing an additional layer of defense-in-depth mitigation.
👍 0
👎 0
← 返回 Hacker News 首页