Cloudflare 推出 PHP Capture the Flag 挑战赛，悬赏绕过 WAF 防护

Cloudflare 宣布通过其 HackerOne Bug Bounty 项目启动 PHP Capture the Flag 挑战赛。此前一周，八张 eMudhra 中间证书被攻破，随后又出现 php2shell 相关 PHP 严重漏洞，Cloudflare 在此期间推送客户端更新与多项缓解措施，为 WAF 增加新规则，并推出 full transaction detection 功能，这些能力在所有套餐（包括 Free）中开放。 挑战环境刻意保持简单：目标运行原版 PHP 8.5.11（含标准 PHP 扩展）、通过 mod_php 运行的 Apache 2，以及一个空的 index.php，整体放在 Cloudflare Container 中，前方启用针对这两个漏洞的默认 WAF 防护规则。沙箱内有一个 /flag 文件，沙箱每隔几分钟重置一次，flag 文件也一并重置。 参赛者的任务是在授权范围内绕过 WAF 防护、利用 PHP 沙箱取得远程代码执行，并读取 /flag 的当前内容，随后在挑战页面通过 UI 完成 flag 验证。挑战聚焦 CVE-2026-109618 与 CVE-2026-109619 两个漏洞，允许使用自备研究工具，挑战页面提供环境详情、范围和 flag 验证表单。 领取奖励需满足一系列条件：注册 HackerOne 账号并同意 Bounty Terms；通过授权的 POST 请求演示攻击者可控的 PHP 代码或命令执行；用该 RCE 取回 /flag 当前内容并在重置前及时完成 UI 验证；在 HackerOne 上向 Cloudflare 提交标题含 PHP CTF 的私密报告，附端点、完整载荷与请求序列、原始请求响应记录或可复现的概念验证、WAF 绕过与代码执行说明、attempt ID、UI 验证结果及 UTC 时间戳等。 仅文件泄露而无 RCE、有 RCE 但未成功取回 flag 并完成 UI 验证、仅本地利用、重新发现已知 PHP 漏洞、仅有 WAF 检测差异或未达成完整目标的局部链路均不符合条件。奖励要求绕过方法或利用载荷有实质差异，新 flag、重置、attempt ID 或等价编码等表面变化不算唯一；重复提交即使未修复也视为重复，只有首个完整可复现的 HackerOne 报告被考虑，最终判定由 Cloudflare 作出。 测试范围仅限挑战主机名上受 WAF 保护的 /php/* 端点且仅限 POST 方法，其他 Cloudflare 服务、底层基础设施直连、上游 PHP 项目及第三方系统均不在范围内；禁止拒绝服务、高频扫描、持久化、社会工程和攻击其他参与者，遇到 429 或 503 需退避。Cloudflare 会记录尝试元数据和请求载荷，参与者应仅使用测试数据。Cloudflare 同时强调 WAF 不能替代修补，运行 PHP 的用户应跟进最新 PHP 安全公告并应用更新。