Cloudflare, php2shell 취약점 대응 WAF 보호 기능 배포

Cloudflare가 2026년 10월 21일 UTC 03:02부터 php2shell(CVE-2026-109618 및 CVE-2026-109619)에 대한 WAF 보호를 배포함, 이는 공개 발표 약 9시간 전임
해당 취약점은 PHP 5.4 이상을 실행하는 모든 웹 서버에 영향을 미치며, 공격자가 특별히 조작된 HTTP 트래픽을 통해 서비스 거부, 원격 코드 실행, 데이터 노출을 유발할 수 있음
Cloudflare가 동일한 HTTP 트랜잭션 내 요청 및 응답 신호를 모두 분석하는 새로운 WAF 기능인 full transaction detection을 도입함, 이는 오탐률을 낮추고 악성 원본 응답을 차단하기 위함
Cloudflare Managed Free Ruleset(ID 77454fe2d30c4220b5701f6fdfb893ba) 및 Managed Ruleset(ID efb7b8c949ac4650a09736fc376e9aee)을 통해 Free 플랜 사용자를 포함한 모든 WAF 고객에게 보호 기능이 자동으로 활성화됨

Vulnerability Details

CVE-2026-109618은 PHP가 메모리를 소진하고 정리 과정에서 초기화되지 않은 내부 데이터를 사용할 때 발생함
CVE-2026-109619는 치명적 오류로 인해 PHP가 해제된 메모리에 대한 참조를 유지하게 되어, 이후 요청에서 해당 메모리가 접근될 수 있을 때 발생함
이러한 결함은 PHP 런타임에 존재하므로 웹사이트 코드나 플러그인 업데이트만으로는 해결되지 않으며, 관리자는 PHP 소프트웨어 자체를 업데이트해야 함

Cloudflare는 초기 보호를 우회하기 위해 페이로드를 변형시키는 공격자를 관측하고 있으며, 공격 트래픽 분석을 기반으로 규칙을 지속적으로 업데이트함
고객은 PHP 저장소를 패치하는 동시에 방어 심화(defense-in-depth) 조치로 WAF 보호를 유지할 것을 권장받음
Professional, Business, 또는 Enterprise 플랜 사용자는 완전한 보호를 위해 Managed Ruleset이 block 모드로 배포되었는지 확인해야 함