Раньше веб-файрвол мог пропустить подозрительный запрос и не узнать, чем закончилась атака. Cloudflare представила для WAF механизм Full Transaction Detection, который сопоставляет входящий HTTP-запрос с ответом сайта. При признаках успешной эксплуатации новая система может заблокировать ответ до передачи злоумышленнику, даже если запрос уже обработал сервер.

Обычные правила WAF проверяют адреса, заголовки и тело входящего запроса, чтобы остановить атаку до обработки. Но подозрительные символы встречаются и в легитимном трафике. Жёсткая фильтрация вызывает ложные блокировки, а мягкая может пропустить эксплуатацию. Ответ приложения помогает различать неудачную попытку взлома и ситуацию, когда сервер раскрыл данные.

Cloudflare приводит пример скачивания файла через параметр URL. Злоумышленник пытается выйти за пределы каталога и получить настройки базы данных. Запрос ещё не доказывает утечку, поскольку сервер мог отказать в доступе. Если ответ содержит признаки конфигурационного файла, WAF получает дополнительное доказательство и может заменить ответ страницей блокировки с кодом 403.

Архитектура разделяет обнаружение атаки и реакцию. Система записывает результаты проверки и уровень уверенности в специальных полях, после чего управляемые или пользовательские правила решают, пропускать ли ответ. Срабатывания доступны в Security Analytics и Security Events. Администраторы могут ограничивать действие правил отдельными адресами сайта, снижая риск ложных блокировок.

Впервые новую защиту задействовали против PHP2Shell. Две уязвимости PHP, CVE-2026-109618 и CVE-2026-109619, получили по 9,2 балла по CVSS 4.0. Ошибки позволяют при определённых условиях выполнить код, раскрыть данные или нарушить работу сервера. По одному запросу трудно установить результат эксплуатации, поэтому Cloudflare связала признаки атаки с ответом приложения.

Cloudflare сообщила, что развернула защитные правила примерно за девять часов до публичного раскрытия PHP2Shell. К 03:02 UTC 21 октября защита автоматически действовала на бесплатных и платных тарифах. Компания наблюдала вредоносные запросы и попытки менять структуру запросов, чтобы обойти фильтры. Однако определить число успешных взломов по этим наблюдениям нельзя.

Функция доступна клиентам Cloudflare, включая Free. Для самостоятельной настройки предусмотрено до трёх правил ответа с действиями Log и Block. Проверять тело ответа непосредственно в пользовательских правилах пока нельзя. Платные тарифы позволяют учитывать результаты сигнатурного анализа, но соответствующие поля ещё появляются в учётных записях клиентов.

Проверка не отменяет действий, уже выполненных на сервере. Если эксплуатация успела изменить файлы или запустить команду, блокировка HTTP-ответа не вернёт систему в исходное состояние. Cloudflare рекомендует устанавливать исправления PHP даже при включённом WAF. Анализ ответа помогает не передать атакующему секреты и оценить последствия запроса, но не заменяет обновления ПО.