Cloudflare 已经正式部署了针对 CVE-2026-109618 和 CVE-2026-109619（php2shell）的 WAF 规则：

生效时间：2026年10月21日 03:02 UTC（比公开披露提前约 9 小时）
覆盖范围：免费版（Free）和付费版都默认开启
防护方式：使用了新的 Full Transaction Detection（完整事务检测），同时分析请求和源站响应，在发现疑似成功利用后，可以拦截源站返回的响应

另外官方已明确表示：即使有了 WAF 防护，客户仍应尽快修复 PHP，WAF 只是额外的纵深防御层。