Накратко
WAF (от Web Application Firewall - защитна стена за уеб приложения) е слой пред сайта или магазина, който проверява всяка входяща заявка и блокира тези, които приличат на атака - например опит да се провре чужда команда към базата данни или да се пусне чужд код. Работи по правила: познати образци на атаки се спират автоматично.
Разликата, която обърква хората: WAF не поправя грешката в кода. Дупката си стои. WAF просто застава пред нея и не пуска атаката да мине - като охрана пред счупена ключалка. Затова доставчици като Cloudflare пускат "управлявани правила" в мига, в който излезе нова уязвимост. Купуват на всички време да обновят.
Пресният пример е PHP. По данни на Cloudflare нейните правила срещу двете критични дупки в езика са пуснати около девет часа преди публичната обява, а от 21 октомври 2026 са включени по подразбиране на всички планове, и безплатния. Новото е, че вече се гледа и отговорът на сървъра, не само заявката: така се различава атака, която е успяла, от обикновен трафик. Самата Cloudflare обаче казва същото, което казва и този възел: поправката си остава обновяването на PHP, а защитата е допълнителен слой, докато го направиш.
Затова не бива да замества кръпката. Щитът пази само познатата форма на атаката, и само докато стоиш зад него. Извадиш ли сайта иззад WAF-а, или измислят ли нападателите нов вариант - остава само едно, което наистина затваря дупката. Обновяването.
Първоизточници
Cloudflare: защити срещу php2shell (CVE-2026-109618, CVE-2026-109619), 21.10.2026OWASP: Web Application Firewall (дефиниция)Визуалът е генериран код-арт, без чужди изображения.