Cloudflare apre Zero Wire: schede pubbliche sulle vulnerabilità critiche

Cloudflare ha aperto oggi, 3 novembre 2026, una sezione dentro Cloudflare Radar dedicata solo alle vulnerabilità critiche che riguardano software esposto su Internet. Si chiama Zero Wire ed è pensata per chi, la mattina, riceve la notifica di un nuovo CVE e deve capire in dieci minuti se riguarda la propria infrastruttura e cosa fare.

Cosa contiene una scheda

Ogni scheda mette insieme una spiegazione in linguaggio semplice della vulnerabilità, chi deve indagare, le azioni consigliate e i link alle prove e alla documentazione del vendor. Cloudflare precisa che non è un catalogo di ogni CVE: Zero Wire integra gli avvisi dei vendor e i database delle vulnerabilità, indirizzando i lettori alle prove e alle indicazioni tecniche necessarie per agire.

Le schede sono divise in due gruppi, come riporta il lancio ripreso anche da altre testate tecniche: organizzate in categorie "Needs attention" e "Reference", ed è gratuito per chiunque, non solo per i clienti Cloudflare. Finire in "Reference" non vuol dire che il problema sia risolto ovunque: un sistema non ancora aggiornato resta vulnerabile anche se la scheda è stata archiviata.

Ogni scheda offre anche un prompt pronto da dare in pasto a un agente AI per un controllo di sola lettura sul proprio ambiente: quali componenti sono esposti, se la patch del vendor è già disponibile, quali contromisure sono attive.

L'esempio php2shell e il ruolo del WAF

Tra le schede c'è quella sulla falla nel runtime PHP nota come php2shell, che riguarda i CVE-2026-109618 e 2026-109619. Il changelog ufficiale del WAF Cloudflare mostra che questo rilascio di emergenza aggiorna nomi e metadati di sette regole esistenti nel Free Ruleset per identificare CVE-2026-109618 e CVE-2026-109619. La copertura è arrivata anche sul piano gratuito, ma resta un limite di 5 regole personalizzate sul piano Free, con tutte le azioni possibili tranne Log. Cloudflare ricorda che una regola WAF è un palliativo: blocca il traffico in transito, ma non ripara il runtime PHP vulnerabile, che va aggiornato dal gestore del server.

Zero Wire è raggiungibile dalla sezione sicurezza di Cloudflare Radar e non richiede un account Cloudflare per la consultazione.