Cloudflare запускає виклик PHP Capture the Flag

Cloudflare запустила виклик PHP Capture the Flag через програму Bug Bounty на HackerOne. Виклик розміщує навмисно вразливу інсталяцію PHP за WAF компанії й запрошує дослідників безпеки обійти захист, експлуатувати пісочницю та відновити прапор. Він зосереджений на CVE-2026-109618 і CVE-2026-109619, двох вразливостях PHP, що лежать в основі php2shell.

Як працює виклик

Ціль працює на базовому PHP 8.5.11 зі стандартними розширеннями PHP, Apache 2 через mod_php і порожнім index.php всередині Cloudflare Container. Попереду ввімкнено типові правила захисту WAF для цих вразливостей. Усередині пісочниці є файл /flag, а пісочниця скидається кожні кілька хвилин, зокрема файл прапора. Дослідники мають обійти WAF, експлуатувати PHP-пісочницю та отримати вміст /flag. Сторінка виклику надає подробиці середовища, обсяг і форму перевірки прапора, а дослідники можуть використовувати власні інструменти дослідження.

Вимоги до участі та звітування

Усі учасники мають створити обліковий запис HackerOne і ознайомитися з умовами Bounty Terms та погодитися з ними перед участю. Прийнятне подання має демонструвати контрольоване атакувальником виконання PHP-коду або команд усередині пісочниці через авторизований POST-запит, використати це віддалене виконання коду для отримання поточного вмісту /flag і перевірити прапор через інтерфейс користувача CTF до скидання. Далі дослідники мають подати приватний звіт Cloudflare на HackerOne з PHP CTF у заголовку, включно з кінцевою точкою, корисним навантаженням, послідовністю запитів, необробленими захопленнями або доказом концепції, поясненням, ідентифікатором спроби, результатом перевірки, часовими мітками й пов'язаними поданнями. Розкриття файлів без віддаленого виконання коду, віддалене виконання коду без успішного отримання прапора й перевірки в інтерфейсі, експлойти лише локального рівня, повторне відкриття відомих вразливостей PHP і неповні ланцюги без повної мети не вважаються прийнятними. Винагороди вимагають суттєво іншого способу обходу WAF; звіти, що використовують той самий механізм обходу Firewall, є дублікатами. Перевірка в інтерфейсі не подає звіт HackerOne і не встановлює пріоритет звітування.

Обсяг і безпека

Тестування авторизоване лише проти кінцевих точок /php/*, захищених WAF, на імені хоста виклику з використанням методу POST. Інші сервіси Cloudflare, прямий доступ до базової інфраструктури, upstream-проєкт PHP і сторонні системи виходять за межі обсягу. Не допускаються відмова в обслуговуванні, сканування з великим обсягом, закріплення в системі, соціальна інженерія та атаки на інших учасників; якщо виникає відповідь 429 або 503, дослідники мають зменшити інтенсивність. Cloudflare залишає за собою право призупинити або завершити виклик у будь-який час. Станом на оновлення від 30 жовтня 2026 року CTF залишається відкритим, а подробиці змін керованих правил доступні в журналі змін WAF Cloudflare. Учасників просять використовувати лише тестові дані й не надсилати облікові дані чи особисту інформацію.

Не заміна виправленню

WAF Cloudflare захищає системи, але не є заміною виправленню вразливого програмного забезпечення. Блокування відповідей може запобігти потраплянню відкритих даних до атакувальника, але не може скасувати дії, уже виконані на сервері походження. Усі, хто працює з PHP, мають стежити за останніми рекомендаціями безпеки PHP і застосовувати відповідні оновлення. Виклик відбувається після тижня, у який було скомпрометовано вісім проміжних сертифікатів eMudhra й з'явилися вразливості PHP php2shell; Cloudflare випустила клієнтські оновлення й кілька засобів пом'якшення, оновила WAF новими правилами та запровадила повне виявлення транзакцій, і ці можливості доступні в усіх тарифах, зокрема Free.

Джерела: Cloudflare