Cloudflare развернул защиту от CVE-2026-109618 и CVE-2026-109619 (php2shell) по умолчанию для всех WAF-планов, включая Free, начиная с 21 октября 3:02 UTC — примерно за 9 часов до публичного раскрытия. Уязвимости затрагивают PHP 5.4+ и позволяют RCE, DoS и утечку данных. Впервые применена full transaction detection: правила анализируют и запрос, и ответ в рамках одной HTTP-транзакции.
Cloudflare собрала стенд, где LLM без доступа к правилам WAF мутирует известные эксплойты и пытается протащить их мимо защиты, видя только HTTP-ответы. Против staging-окружения заказчика записано 1107 попыток в шести категориях атак; большинство WAF отбил, а не заблокированные запросы превратили в новые детекты. Ни одна модель не может менять конфигурацию.
Cloudflare выпустил WAF-правила для CVE-2026-60137 (SQL-инъекция, версии 6.8+) и CVE-2026-63030 (удалённое выполнение кода, версии 6.9+). Исправления вышли в 7.0.2, 6.9.5, 6.8.6. WordPress принудительно обновляет затронутые сайты. Cloudflare-правила включены по умолчанию для всех тарифов, включая бесплатный.
Willison описывает, как Managed Challenge от Cloudflare начал срабатывать даже на простые запросы вроде ?q=term. Он ковырял правила вместе с Claude Code, чтобы не устраивать пользователям квест на тему «докажи, что ты не бот», когда они всего лишь ищут по сайту.