Cloudflare PHP Capture the Flag yarışmasını başlattı

Cloudflare, HackerOne üzerindeki Bug Bounty programı aracılığıyla bir PHP Capture the Flag yarışması başlattı. Yarışma, şirketin WAF'ının arkasına kasıtlı olarak güvenlik açığı bulunan bir PHP kurulumu yerleştirir ve güvenlik araştırmacılarını korumaları aşmaya, sandbox'ı istismar etmeye ve bir bayrağı ele geçirmeye davet eder. Yarışma, php2shell'in arkasındaki iki PHP güvenlik açığı olan CVE-2026-109618 ve CVE-2026-109619 üzerine odaklanır.

Yarışma nasıl çalışır

Hedef, Cloudflare Container içinde stok PHP 8.5.11'i (standart PHP uzantılarıyla), mod_php üzerinden Apache 2'yi ve boş bir index.php dosyasını çalıştırır. Bu güvenlik açıklarına yönelik varsayılan WAF koruma kuralları hedefin önünde etkindir. Sandbox içinde /flag adlı bir dosya bulunur ve sandbox birkaç dakikada bir, bayrak dosyası da dahil olmak üzere sıfırlanır. Araştırmacılar WAF'ı aşmalı, PHP sandbox'ını istismar etmeli ve /flag dosyasının içeriğini ele geçirmelidir. Yarışma sayfası ortam ayrıntılarını, kapsamı ve bayrak doğrulama formunu sunar; araştırmacılar kendi araştırma araçlarını kullanabilir.

Uygunluk ve raporlama

Tüm katılımcılar katılmadan önce bir HackerOne hesabı açmalı ve Bounty Terms belgesini inceleyip kabul etmelidir. Uygun bir gönderim, yetkili bir POST isteği aracılığıyla sandbox içinde saldırgan denetiminde PHP kodu veya komut çalıştırmasını göstermeli, bu uzaktan kod çalıştırmasını kullanarak /flag dosyasının güncel içeriğini ele geçirmeli ve sıfırlamadan önce CTF kullanıcı arayüzü üzerinden bayrağı doğrulamalıdır. Araştırmacılar daha sonra HackerOne üzerinde Cloudflare'a gizli bir rapor göndermelidir; başlıkta PHP CTF bulunmalıdır ve rapor uç nokta, yük, istek sırası, ham kayıtlar veya kavram kanıtı, açıklama, deneme kimliği, doğrulama sonucu, zaman damgaları ve ilgili gönderimleri içermelidir. Uzaktan kod çalıştırması olmadan dosya ifşası, başarılı bayrak ele geçirme ve kullanıcı arayüzü doğrulaması olmadan uzaktan kod çalıştırması, yalnızca yerel açıklar, bilinen PHP güvenlik açıklarının yeniden keşfi ve tam hedefi içermeyen kısmi zincirler uygun değildir. Ödüller, esaslı biçimde farklı bir WAF aşma yöntemi gerektirir; aynı Güvenlik Duvarı aşma mekanizmasını kullanan raporlar yinelenen rapor sayılır. Kullanıcı arayüzü doğrulaması HackerOne raporu göndermez ve raporlama önceliği oluşturmaz.

Kapsam ve güvenlik

Testler yalnızca yarışma ana bilgisayar adının WAF ile korunan /php/* uç noktalarına karşı ve yalnızca POST yöntemiyle yetkilidir. Diğer Cloudflare hizmetleri, temel altyapıya doğrudan erişim, yukarı akış PHP projesi ve üçüncü taraf sistemler kapsam dışındadır. Hizmet reddi, yüksek hacimli tarama, kalıcılık, sosyal mühendislik ve diğer katılımcılara saldırı yasaktır; 429 veya 503 yanıtı alınırsa araştırmacılar geri çekilmelidir. Cloudflare yarışmayı herhangi bir zamanda askıya alma veya sonlandırma hakkını saklı tutar. 30 Ekim 2026 güncellemesine göre CTF açık kalmaktadır ve yönetilen kural değişikliklerinin ayrıntıları Cloudflare WAF değişiklik günlüğünde bulunur. Katılımcılardan yalnızca test verisi kullanmaları ve kimlik bilgileri veya kişisel bilgi göndermemeleri istenmektedir.

Yama yapmanın yerini tutmaz

Cloudflare'ın WAF'ı sistemleri korur, ancak güvenlik açığı bulunan yazılımı düzeltmenin yerini tutmaz. Yanıt engelleme, açığa çıkan verilerin saldırgana ulaşmasını önleyebilir, ancak kaynak sunucuda zaten gerçekleştirilmiş eylemleri geri alamaz. PHP çalıştıran herkes en güncel PHP güvenlik duyurularını izlemeli ve ilgili güncellemeleri uygulamalıdır. Yarışma, sekiz eMudhra ara sertifikasının ele geçirildiği ve php2shell PHP güvenlik açıklarının ortaya çıktığı bir haftanın ardından gelmektedir; Cloudflare istemci güncellemeleri ve birden fazla azaltma önlemi yayımladı, WAF'ını yeni kurallarla güncelledi ve tam işlem algılama özelliğini tanıttı; bu yetenekler Free dahil tüm planlarda kullanılabilir.

Kaynaklar: Cloudflare