Cloudflare-მა PHP Capture the Flag-ის გამოწვევა დაიწყო

Cloudflare-მა HackerOne-ზე Bug Bounty პროგრამის ფარგლებში PHP Capture the Flag-ის გამოწვევა დაიწყო. WAF-ის უკან განზრახ დაუცველი PHP ინსტალაციაა; მკვლევრებმა უნდა გვერდი აუარონ დაცვას, გამოიყენონ sandbox-ის დაუცველობა და ამოიღონ flag. გამოწვევა ეხება CVE-2026-109618 და CVE-2026-109619 დაუცველობებს, რომლებიც php2shell-ის საფუძველია.

როგორ მუშაობს გამოწვევა

სამიზნე Cloudflare Container-ში მუშაობს: სტანდარტული PHP 8.5.11, Apache 2 mod_php-ით და ცარიელი index.php. მის წინ ჩართულია ამ დაუცველობებისთვის განკუთვნილი WAF-ის ნაგულისხმევი დაცვის წესები. sandbox-ი, მათ შორის /flag ფაილი, ყოველ რამდენიმე წუთში ნულდება. მკვლევრებმა WAF უნდა გვერდი აუარონ, გამოიყენონ PHP sandbox-ის დაუცველობა და ამოიღონ /flag-ის შიგთავსი. გვერდზეა გარემოს დეტალები, scope და flag-ის შემოწმების ფორმა; საკუთარი ხელსაწყოებიც დასაშვებია.

მოთხოვნები და რეპორტინგი

მონაწილეობისთვის საჭიროა HackerOne-ის ანგარიში და Bounty Terms-ზე თანხმობა. დასაშვები წარდგენა უნდა აჩვენებდეს ნებადართული POST მოთხოვნით sandbox-ში თავდამსხმელის კონტროლქვეშ მყოფი PHP კოდის ან ბრძანების შესრულებას, ამ RCE-ით /flag-ის მიმდინარე შიგთავსის ამოღებას და reset-ამდე flag-ის დადასტურებას CTF-ის ინტერფეისში. შემდეგ HackerOne-ზე მკვლევრებმა Cloudflare-ს უნდა გაუგზავნონ პირადი რეპორტი სათაურით PHP CTF, სადაც იქნება endpoint, payload, მოთხოვნების თანმიმდევრობა, ნედლი მონაცემები/PoC, ახსნა, attempt ID, დადასტურება, დროის ნიშნები და დაკავშირებული წარდგენები. დაუშვებელია ფაილის გამჟღავნება RCE-ის გარეშე, RCE flag-ის ამოღებისა და UI-ში დადასტურების გარეშე, მხოლოდ ლოკალური ექსპლოიტები, ცნობილი PHP დაუცველობების ხელახლა აღმოჩენა და ნაწილობრივი ჯაჭვები სრული მიზნის გარეშე. ჯილდოსთვის საჭიროა არსებითად განსხვავებული WAF-ის გვერდის ავლის მეთოდი; იგივე Firewall-ის გვერდის ავლის მექანიზმის მქონე რეპორტები დუბლიკატებია. UI-ში დადასტურება რეპორტს არ აგზავნის და რეპორტინგის პრიორიტეტს არ ადგენს.

მოქმედების არე და უსაფრთხოება

ტესტირება მხოლოდ გამოწვევის ჰოსტნეიმის WAF-ით დაცულ /php/* endpoint-ებზე, მხოლოდ POST-ითაა ნებადართული. სხვა Cloudflare-ის სერვისები, საბაზისო ინფრასტრუქტურაზე უშუალო წვდომა, PHP-ის upstream პროექტი და მესამე მხარის სისტემები scope-ში არ შედის. აკრძალულია DoS, მასიური სკანირება, persistence, social engineering და სხვა მონაწილეებზე თავდასხმა; 429 ან 503-ისას აქტივობა უნდა შეწყდეს. Cloudflare ნებისმიერ დროს შეიძლება შეაჩეროს ან შეწყვიტოს გამოწვევა. 2026 წლის 30 ოქტომბრის განახლებით CTF ღიაა; managed rule-ების ცვლილებები Cloudflare WAF-ის changelog-შია. გამოიყენეთ მხოლოდ სატესტო მონაცემები; ნუ გააგზავნით credentials-ს ან პირად ინფორმაციას.

ეს პატჩირებას არ ცვლის

Cloudflare-ის WAF სისტემებს იცავს, მაგრამ დაუცველი პროგრამული უზრუნველყოფის გამოსწორებას არ ცვლის. პასუხის დაბლოკვა ხელს უშლის გამჟღავნებული მონაცემების თავდამსხმელამდე მისვლას, თუმცა საწყის სერვერზე უკვე შესრულებულ მოქმედებებს ვერ გააუქმებს. PHP-ის მომხმარებლებმა უნდა გაითვალისწინონ უახლესი უსაფრთხოების ბიულეტენები და განაახლონ პროგრამები. გამოწვევა მოჰყვა კვირას, როცა დაკომპრომეტდა eMudhra-ს რვა შუალედური სერტიფიკატი და გამოჩნდა php2shell PHP დაუცველობები; Cloudflare-მა გამოუშვა კლიენტური განახლებები და შემარბილებლები, WAF ახალი წესებით განაახლა და დანერგა ტრანზაქციების სრული დეტექცია; ეს ყველა გეგმაზეა, Free-ის ჩათვლით.

წყაროები: Cloudflare