Cloudflare 在 11 月 3 日刷新了一组 WAF 规则表达式，四条 PHP 远程代码执行检测继续拦截但判定更准，同时新增一条 phpMyAdmin 认证绕过检测，默认却是关着的。
Cloudflare 在 11 月 3 日刷新了一组 WAF 规则表达式，四条 PHP 远程代码执行检测继续拦截但判定更准，同时新增一条 phpMyAdmin 认证绕过检测，默认却是关着的。
这次改了哪些规则
按官方更新日志，改动覆盖 PHP 内存耗尽类远程代码执行漏洞 CVE-2026-109618、CVE-2026-109619，以及 CVE-2026-115560。Free 规则集和 Managed 规则集里各有两个规则（编号尾段分别为 bcd95984 / 82dab691 与 0a0c2f64 / 545d163c），描述都是 PHP Remote Code Execution Attack，动作前后都是 Block，变的是底层匹配表达式。官方说明这是一轮迭代修正，依据来自 PHP CTF 挑战中安全研究者提交的报告，方向是收紧对特定 OOM 模式的匹配、减少误报，而不是扩大拦截范围。
第五条是新增项：Managed 规则集里出现了一条 phpMyAdmin 认证绕过检测（规则 ID 尾段 13f91633），Previous Action 标为 N/A、New Action 标为 Disabled，备注写着「This is a new detection」。也就是说规则已经下发到规则集，但不会自动阻断任何流量，需要站点自己评估后手动开启。
为什么新规则先不给开
这类做法在托管规则里并不罕见：新检测还没经过足够流量验证，直接全局 Block 容易把正常的数据库管理操作一起拦掉，厂商会先以禁用状态放出来观察命中。对用了 phpMyAdmin 的站点，这反而留了一个决策点——你既不能指望默认配置已经挡住了认证绕过，也不能不测试就一键打开。
建议的顺序是：先在 WAF 日志里按新增规则 ID 过滤一段时间，看它命中的是不是自己合法的后台访问；确认没有误报，再在预发布或非高峰时段把动作从 Disabled 改成 Block，观察登录、导入导出、SQL 执行这几条常用路径。
别把 WAF 当成补丁
这次更新的四条 PHP RCE 规则，对应的是 10 月那批解释器层面的漏洞。WAF 能做的是拦住已知载荷形态，攻击者换个编码、换个参数位置就可能绕过去；更关键的是，如果源站 IP 可被直连，CDN 这一层完全不生效。真正收尾的动作依然是升级到对应分支的修复版并重启 PHP-FPM 或 Web 服务，容器环境则要重建镜像并确认运行中的版本号。规则更新只能给补丁争取时间。
顺带把 phpMyAdmin 本身理一遍：还挂在公网、没有 IP 白名单、版本停留在旧分支的，优先级比开这条 WAF 规则更高。数据库管理界面最稳妥的处理是撤到内网或 VPN 后面，只留一个入口并加二次认证；实在要暴露，至少限制来源 IP、改掉默认路径、关掉不必要的导入功能。
对站长的实际影响
这次更新没有要求任何操作，改动自动生效，但有两件事值得主动做：一是复核告警规则里引用的旧规则 ID 是否还有效，别让拦截日志悄悄变成空报表；二是把「默认禁用」当成一次提醒，去清点自己托管规则集里所有处于 Disabled 状态的检测项。托管 WAF 的价值取决于开启比例，而厂商出于误报顾虑会持续以关着的状态推新规则。每月花十分钟过一遍规则清单和命中日志，比出事之后翻更新日志有用得多。
本文根据公开报道整理，主要参考：Cloudflare Changelog《WAF Release - 2026-11-03》（2026-11-03）。
