El hacker ya está dentro, pero aún se pueden salvar los secretos. Cloudflare equipa al cortafuegos para bloquear la fuga de datos.

Antes, el firewall web podía dejar pasar una solicitud sospechosa y no saber cómo terminó el ataque. Cloudflare presentó para el WAF el mecanismo Full Transaction Detection, que compara la solicitud HTTP entrante con la respuesta del sitio. Si hay indicios de explotación exitosa, el nuevo sistema puede bloquear la respuesta antes de entregarla al atacante, incluso si el servidor ya procesó la solicitud.

Las reglas habituales del WAF comprueban las direcciones, los encabezados y el cuerpo de la solicitud entrante para detener el ataque antes de su procesamiento. Pero los caracteres sospechosos también aparecen en tráfico legítimo. El filtrado estricto provoca bloqueos falsos, y el filtrado tolerante puede dejar pasar una explotación. La respuesta de la aplicación ayuda a distinguir un intento fallido de intrusión de una situación en la que el servidor ha expuesto datos.

Cloudflare pone como ejemplo la descarga de un archivo mediante un parámetro de URL. El atacante intenta salir del directorio y obtener la configuración de la base de datos. La solicitud aún no demuestra una filtración, porque el servidor pudo denegar el acceso. Si la respuesta contiene indicios de un archivo de configuración, el WAF obtiene pruebas adicionales y puede sustituir la respuesta por una página de bloqueo con el código 403.

La arquitectura separa la detección del ataque y la respuesta. El sistema registra los resultados de la comprobación y el nivel de confianza en campos especiales, tras lo cual las reglas administradas o personalizadas deciden si permitir la respuesta. Los eventos se muestran en Security Analytics y Security Events. Los administradores pueden restringir la aplicación de las reglas a direcciones específicas del sitio, reduciendo el riesgo de bloqueos falsos.

Por primera vez la nueva protección se empleó contra PHP2Shell. Dos vulnerabilidades de PHP, CVE-2026-109618 y CVE-2026-109619, recibieron 9,2 puntos según CVSS 4.0. Los errores permiten, en determinadas condiciones, ejecutar código, exponer datos o interrumpir el funcionamiento del servidor. Con una sola solicitud es difícil establecer el resultado de la explotación, por eso Cloudflare vinculó los indicios de ataque con la respuesta de la aplicación.

Cloudflare informó que desplegó reglas de protección aproximadamente nueve horas antes de la divulgación pública de PHP2Shell. Para las 03:02 UTC del 21 de octubre la protección ya actuaba automáticamente en planes gratuitos y de pago. La empresa observó solicitudes maliciosas e intentos de alterar la estructura de las solicitudes para evadir los filtros. Sin embargo, no es posible determinar el número de intrusiones exitosas a partir de esas observaciones.

La función está disponible para clientes de Cloudflare, incluido el plan gratuito. Para la configuración manual se permiten hasta tres reglas de respuesta con acciones Log y Block. Aún no es posible comprobar el cuerpo de la respuesta directamente en las reglas personalizadas. Los planes de pago permiten tener en cuenta los resultados del análisis por firmas, pero los campos correspondientes todavía aparecen en las cuentas de los clientes.

La comprobación no revierte las acciones ya realizadas en el servidor. Si la explotación llegó a modificar archivos o a ejecutar un comando, bloquear la respuesta HTTP no devolverá el sistema a su estado inicial. Cloudflare recomienda aplicar las correcciones de PHP incluso con el WAF activado. El análisis de la respuesta ayuda a no entregar secretos al atacante y a evaluar las consecuencias de la solicitud, pero no sustituye las actualizaciones de software.