Cloudflare WAF ora ispeziona anche la risposta: debutta per bloccare php2shell

Cloudflare ha annunciato il 21 ottobre due funzioni nuove per il suo web application firewall: il controllo dell'intera transazione HTTP, chiamato "full transaction detection", e le "response rules", regole che agiscono sulla risposta dell'origine prima che arrivi al client. Chi gestisce siti dietro Cloudflare, anche sul piano gratuito, le trova già attive.

Cosa cambia rispetto a prima

Fino ad oggi il WAF di Cloudflare forniva protezione per tecniche di attacco e vulnerabilità note tramite regole gestite, mentre le regole personalizzate permettevano di creare policy basate su IP, percorso URL, header e corpo della richiesta. Questi controlli operano a livello di richiesta per fermare exploit o traffico indesiderato prima che raggiunga l'origine.

Il problema, spiega Cloudflare, è che valutare solo la richiesta costringe a una scelta difficile fra regole larghe (più falsi positivi, più rischio di bloccare traffico legittimo) e regole strette (più margine per traffico ambiguo che arriva comunque al server). Con la nuova funzione il WAF può correlare richiesta e risposta: un tentativo di path traversal che restituisce un errore racconta una storia diversa da uno che restituisce il contenuto di un file di configurazione.

Tre nuovi campi sono disponibili per chi scrive regole personalizzate:

Campo	Cosa contiene
cf.waf.signature.response.confidence	Livello di affidabilità della firma corrispondente
cf.waf.signature.response.categories	Categorie associate alla firma
cf.waf.signature.response.ref	ID di riferimento della firma, fino a 10

Sul piano Free i clienti possono creare fino a 3 regole custom sulla risposta, con azioni Log e Block; non è ancora possibile filtrare sul corpo della risposta. Le regole si configurano in Security > Security Rules nella dashboard.

Il banco di prova: php2shell

La prima protezione gestita basata su questa tecnica riguarda la vulnerabilità php2shell, due vulnerabilità critiche di remote code execution in PHP, identificate come CVE-2026-109618 e CVE-2026-109619, entrambe con punteggio 9.2 sulla scala CVSS v4.0. Le patch ufficiali di PHP sono state pubblicate attorno all'orario previsto delle 14:00 UTC del 21 ottobre, mentre Cloudflare aveva già attivato le proprie regole WAF di default alle 03:02 UTC, prima della patch.

Il CEO di Cloudflare, Matthew Prince, ha dichiarato che la società ha rilevato migliaia di tentativi di sfruttamento nelle 10 ore precedenti la divulgazione pubblica delle vulnerabilità, saliti a decine di migliaia entro 45 minuti dalla divulgazione, centinaia di migliaia entro due ore, e in seguito saliti nell'ordine dei milioni. Cloudflare ha inoltre osservato che gli attaccanti non si limitano a riutilizzare lo stesso exploit: hanno modificato i payload nel tentativo di eludere le protezioni del WAF, apparentemente usando il feedback delle richieste bloccate.

Chi gestisce server PHP esposti deve comunque aggiornare: le regole WAF sono definite uno stopgap, non un sostituto della patch.

Chi usa Cloudflare può verificare lo stato delle regole in Security > Security Rules; i campi response sono in fase di rollout su tutti gli account.