Cloudflare משיקה אתגר PHP Capture the Flag

Cloudflare השיקה אתגר PHP Capture the Flag דרך תוכנית ה-Bug Bounty שלה ב-HackerOne. האתגר מציב התקנת PHP פגיעה בכוונה מאחורי ה-WAF של החברה ומזמין חוקרי אבטחה לעקוף הגנות, לנצל את ארגז החול ולשחזר דגל. הוא מתמקד ב-CVE-2026-109618 וב-CVE-2026-109619, שתי פגיעויות ה-PHP שעומדות מאחורי php2shell.

כיצד פועל האתגר

היעד מריץ PHP 8.5.11 מקורי עם הרחבות PHP סטנדרטיות, Apache 2 דרך mod_php, וקובץ index.php ריק בתוך Cloudflare Container. כללי הגנת WAF כברירת מחדל עבור פגיעויות אלה מופעלים לפניו. בתוך ארגז החול נמצא קובץ בשם /flag, וארגז החול מתאפס כל כמה דקות, כולל קובץ הדגל. החוקרים חייבים לעקוף את ה-WAF, לנצל את ארגז החול של PHP ולשחזר את תוכן /flag. עמוד האתגר מספק פרטי סביבה, היקף וטופס אימות דגל, והחוקרים רשאים להשתמש בכלי המחקר שלהם.

זכאות ודיווח

כל המשתתפים חייבים להירשם לחשבון HackerOne ולעבור על תנאי ה-Bounty ולהסכים להם לפני ההשתתפות. הגשה זכאית חייבת להדגים קוד PHP בשליטת התוקף או הרצת פקודה בתוך ארגז החול באמצעות בקשת POST מורשית, להשתמש באותה הרצת קוד מרחוק כדי לשחזר את התוכן הנוכחי של /flag, ולאמת את הדגל דרך ממשק המשתמש של ה-CTF לפני איפוס. לאחר מכן על החוקרים להגיש דוח פרטי ל-Cloudflare ב-HackerOne, עם PHP CTF בכותרת, הכולל endpoint, payload, רצף בקשות, לכידות גולמיות או proof of concept, הסבר, attempt ID, תוצאת אימות, חותמות זמן והגשות קשורות. חשיפת קבצים ללא הרצת קוד מרחוק, הרצת קוד מרחוק ללא שחזור דגל מוצלח ואימות בממשק המשתמש, ניצולים מקומיים בלבד, גילוי מחדש של פגיעויות ה-PHP הידועות, ושרשראות חלקיות ללא המטרה המלאה אינם זכאים. הענקת פרסים מחייבת שיטת עקיפת WAF שונה מהותית; דוחות המשתמשים באותו מנגנון עקיפת חומת אש הם כפילויות. אימות בממשק המשתמש אינו מגיש דוח HackerOne ואינו קובע עדיפות דיווח.

היקף ובטיחות

הבדיקות מורשות רק כנגד נקודות הקצה /php/* של שם המארח של האתגר המוגנות על ידי WAF, באמצעות שיטת POST. שירותים אחרים של Cloudflare, גישה ישירה לתשתית הבסיסית, פרויקט ה-PHP במעלה הזרם ומערכות צד שלישי נמצאים מחוץ להיקף. אסורים מניעת שירות, סריקה בנפח גבוה, התבססות, הנדסה חברתית ותקיפות על משתתפים אחרים; אם מתרחשת תגובת 429 או 503, החוקרים צריכים לסגת. Cloudflare שומרת לעצמה את הזכות להשעות או להפסיק את האתגר בכל עת. נכון לעדכון מ-30 באוקטובר 2026, ה-CTF עדיין פתוח, ופרטים על שינויים בכללים מנוהלים זמינים ביומן השינויים של Cloudflare WAF. המשתתפים מתבקשים להשתמש בנתוני בדיקה בלבד ולא לשלוח פרטי התחברות או מידע אישי.

לא תחליף לתיקון

ה-WAF של Cloudflare מגן על מערכות, אך אינו מהווה תחליף לתיקון תוכנה פגיעה. חסימת תגובות יכולה למנוע מנתונים חשופים להגיע לתוקף, אך היא אינה יכולה לבטל פעולות שכבר בוצעו במקור. כל מי שמריץ PHP צריך לעקוב אחר התראות האבטחה העדכניות של PHP ולהחיל עדכונים רלוונטיים. האתגר מגיע בעקבות שבוע שבו נפגעו שמונה תעודות ביניים של eMudhra והתגלו פגיעויות ה-PHP של php2shell; Cloudflare פרסמה עדכוני לקוח ומספר צעדי הקלה, עדכנה את ה-WAF שלה בכללים חדשים, והציגה זיהוי טרנזקציות מלא, כאשר יכולות אלה זמינות בכל התוכניות כולל Free.

מקורות: Cloudflare