Cloudflare تطلق تحدي Capture the Flag لـ PHP

أطلقت Cloudflare تحدي Capture the Flag لـ PHP عبر برنامج Bug Bounty الخاص بها على HackerOne. يضع التحدي تثبيتاً متعمد الضعف لـ PHP خلف WAF الخاص بالشركة، ويدعو باحثي الأمن إلى تجاوز الحمايات، واستغلال صندوق الاختبار، واسترداد علم. ويركز على CVE-2026-109618 و CVE-2026-109619، وهما ثغرتا PHP خلف php2shell.

كيف يعمل التحدي

يعمل الهدف على نسخة PHP 8.5.11 الأصلية غير المعدّلة مع امتدادات PHP القياسية، وApache 2 عبر mod_php، وملف index.php فارغ داخل Cloudflare Container. وتُفعَّل أمامه قواعد حماية WAF الافتراضية لهذه الثغرات. داخل صندوق الاختبار يوجد ملف باسم /flag، ويعاد ضبط صندوق الاختبار كل بضع دقائق، بما في ذلك ملف العلم. ويجب على الباحثين تجاوز WAF، واستغلال صندوق PHP، واسترداد محتويات /flag. وتقدم صفحة التحدي تفاصيل البيئة، والنطاق، ونموذج التحقق من العلم، ويمكن للباحثين استخدام أدوات البحث الخاصة بهم.

الأهلية والإبلاغ

يجب على جميع المشاركين إنشاء حساب HackerOne ومراجعة شروط Bounty والموافقة عليها قبل المشاركة. يجب أن يثبت الإرسال المؤهل تنفيذ PHP أو أوامر يتحكم بها المهاجم داخل صندوق الاختبار عبر طلب POST مفوض، واستخدام تنفيذ الكود عن بُعد هذا لاسترداد المحتويات الحالية لـ /flag، والتحقق من العلم عبر واجهة مستخدم CTF قبل إعادة الضبط. ثم يجب على الباحثين إرسال تقرير خاص إلى Cloudflare على HackerOne، مع PHP CTF في العنوان، متضمناً نقطة النهاية، والحمولة، وتسلسل الطلبات، والالتقاطات الخام أو إثبات المفهوم، والشرح، ومعرّف المحاولة، ونتيجة التحقق، والطوابع الزمنية، والإرسالات ذات الصلة. الإفصاح عن ملفات دون تنفيذ كود عن بُعد، وتنفيذ كود عن بُعد دون استرداد ناجح للعلم والتحقق عبر واجهة المستخدم، والاستغلالات المحلية فقط، وإعادة اكتشاف ثغرات PHP المعروفة، والسلاسل الجزئية دون الهدف الكامل غير مؤهلة. تتطلب الجوائز طريقة تجاوز WAF مختلفة جوهرياً؛ والتقارير التي تستخدم نفس آلية تجاوز جدار الحماية هي تكرارات. التحقق عبر واجهة المستخدم لا يرسل تقريراً إلى HackerOne ولا يحدد أولوية الإبلاغ.

النطاق والسلامة

يُصرَّح بالاختبار فقط ضد نقاط النهاية /php/* المحمية بـ WAF لاسم مضيف التحدي باستخدام طريقة POST. وتعتبر خدمات Cloudflare الأخرى، والوصول المباشر إلى البنية التحتية الأساسية، ومشروع PHP المصدر، والأنظمة التابعة لجهات خارجية خارج النطاق. ويُحظر إنكار الخدمة، والفحص عالي الحجم، والثبات، والهندسة الاجتماعية، والهجمات على المشاركين الآخرين؛ وإذا حدثت استجابة 429 أو 503، يجب على الباحثين التراجع. تحتفظ Cloudflare بالحق في تعليق التحدي أو إنهائه في أي وقت. اعتباراً من تحديث 30 أكتوبر 2026، يبقى CTF مفتوحاً، وتتوفر تفاصيل تغييرات القواعد المُدارة في سجل تغييرات WAF الخاص بـ Cloudflare. ويُطلب من المشاركين استخدام بيانات اختبار فقط وعدم إرسال بيانات اعتماد أو معلومات شخصية.

ليس بديلاً عن التصحيح

يحمي WAF الخاص بـ Cloudflare الأنظمة، لكنه ليس بديلاً عن إصلاح البرمجيات الضعيفة. يمكن لحظر الاستجابات منع البيانات المكشوفة من الوصول إلى مهاجم، لكنه لا يمكنه التراجع عن الإجراءات التي أُنجزت بالفعل في المنشأ. يجب على أي شخص يشغّل PHP متابعة آخر نشرات أمان PHP وتطبيق التحديثات ذات الصلة. ويأتي التحدي بعد أسبوع شهد اختراق ثمانية شهادات وسيطة من eMudhra وظهور ثغرات php2shell في PHP؛ وأصدرت Cloudflare تحديثات عميل وتدابير تخفيف متعددة، وحدّثت WAF بقواعد جديدة، وأدخلت اكتشاف المعاملات الكاملة، وتتوفر هذه القدرات في جميع الخطط بما في ذلك Free.

المصادر: Cloudflare