2026年10月21日，Cloudflare为其Web应用防火墙（WAF）新增两项功能，重点从分析传入请求转向审视源服务器返回内容。其中，“全事务检测”结合HTTP请求与响应，评估漏洞利用是否成功；“响应规则”则可在源服务器回复到达请求者前进行拦截。Cloudflare宣布，这两项功能已向包括免费计划在内的所有客户开放，首批基于此构建的管理型防护措施旨在应对PHP中的php2shell漏洞。
同日，针对可能导致未授权远程代码执行的两个运行时错误（CVE-2026-109618和CVE-2026-109619），PHP官方发布紧急修复版本。受影响的修复版本包括8.5.12、8.4.27、8.3.36和8.2.35。此前，相关攻击流量已经出现。
响应检查带来的增强
传统WAF仅依赖请求分析，往往难以判断可疑输入是否造成实际危害。Cloudflare安全团队成员Daniele Molteni、Elie Roudninski和Nick Downie指出，“响应提供了缺失的证据”。他们表示，同样的可疑输入，若后续响应暴露敏感信息，其性质与返回拒绝或错误截然不同。当触发响应规则时，Cloudflare会将源服务器回复替换为WAF拦截页面或自定义响应。
目前，所有客户均可使用Cloudflare托管的默认响应防火墙规则集，该方案支持针对特定路径进行一键式部署。所有计划用户最多可编写三条包含日志记录和拦截操作的自定义响应规则，但暂不支持针对响应正文的规则。付费客户可在管理面板“安全 > 安全规则”页面底部的新字段中获取检测结果，如cf.waf.signature.response.confidence和cf.waf.signature.response.categories，这些字段正逐步向账户推送。
Cloudflare强调，拦截响应无法撤销已在源服务器上执行的操作，因此被拦截的回复不能逆转已运行的代码。PHP官方安全通告也指出，目前没有完整的缓解措施，更新是唯一安全的选择。
Google Cloud的应对指南
Google Cloud于10月21日发布应对声明。Google Cloud首席信息安全官Chris Betz与Google DeepMind Gemini安全负责人Raluca Ada Popa撰文指出，Google Cloud平台本身不受影响，但其上的PHP用户可能面临风险。官方敦促所有在Google Cloud运行PHP应用的客户立即更新至PHP 8.2或更高版本，并使用修补后的版本重新部署服务。
Google正在推出更新的无服务器基础镜像。使用PHP 8.2及以上版本的App Engine标准应用会自动更新，启用自动基础镜像更新的Cloud Run服务和函数也将自动升级。然而，App Engine灵活应用不会自动更新，需手动重新部署；自定义容器镜像则由客户负责重建。Google表示，运行在PHP 5.5、7.2、7.3、7.4和8.1运行时环境中的应用仍易受攻击，必须迁移至PHP 8.2或更高版本，因为PHP项目不再将修复程序向后移植到8.1或更早版本。
此外，Google披露，Wiz Research在发现并协助修复这些漏洞时使用了多种模型，其中Gemini 4 Argon在漏洞发现、利用开发、攻击检测和补丁验证方面做出了“至关重要”的贡献。Cloudflare则表示，未来将把全事务检测扩展至数据泄露和窃取信号领域，免费计划的管理型检测将专注于知名漏洞，而付费客户将获得更丰富的目录支持。