Cloudflare hat im Rahmen seines Bug-Bounty-Programms eine PHP-Capture-the-Flag-Herausforderung gestartet und lädt Sicherheitsforscher dazu ein, zu testen, ob sie den Schutz seiner Web Application Firewall (WAF) umgehen können. Das Unternehmen erklärt, die Übung solle Erkenntnisse aus der Praxis sammeln und seine Abwehrmaßnahmen gegen PHP-Sicherheitslücken im Zusammenhang mit php2shell stärken.
Die Herausforderung konzentriert sich auf CVE-2026-109618 und CVE-2026-109619. Die Teilnehmenden erwartet eine absichtlich verwundbare Umgebung mit Standard-PHP 8.5.11, den üblichen Erweiterungen und Apache 2 über mod_php. Cloudflares standardmäßige WAF-Regeln für die Sicherheitslücken sind der Sandbox vorgeschaltet. Diese enthält eine leere index.php und eine /flag-Datei. Die Umgebung wird alle paar Minuten zurückgesetzt.
Um sich zu qualifizieren, müssen Forschende eine autorisierte POST-Anfrage verwenden, um PHP-Code oder die Ausführung von Befehlen durch Angreifer zu ermöglichen, den aktuellen Inhalt von /flag abrufen und die Flagge über die Oberfläche der Herausforderung verifizieren. Außerdem müssen sie über HackerOne einen vertraulichen Bericht mit reproduzierbaren technischen Belegen einreichen. Dazu gehören die Abfolge der Anfragen, relevante Header und Payloads, die Umgehungsmethode sowie die Details der erfolgreichen Verifizierung.
Cloudflare erklärt, dass eine Prämie einen deutlich eigenständigen WAF-Bypass voraussetzt. Berichte, die denselben Umgehungsmechanismus verwenden, gelten als Duplikate, selbst wenn sie unterschiedliche PHP-Exploits, Payloads, Ausführungstechniken oder Methoden zum Abrufen der Flagge nutzen. Die Offenlegung von Dateien ohne Remote Code Execution, eine Ausführung ohne erfolgreiches Abrufen und Verifizieren der Flagge sowie unvollständige Angriffsketten sind nicht prämienberechtigt.
Tests sind auf POST-Anfragen an die durch den WAF geschützten /php/*-Endpunkte des Challenge-Hostnamens beschränkt. Der direkte Zugriff auf die zugrunde liegende Infrastruktur, andere Cloudflare-Dienste und Systeme Dritter ist nicht Teil des zulässigen Umfangs. Die Regeln untersagen außerdem Denial-of-Service-Aktivitäten, Scans in großem Umfang, Persistenz und Social Engineering. Cloudflare bittet die Teilnehmenden, ausschließlich Testdaten zu verwenden und ihre Aktivitäten einzustellen oder zu reduzieren, wenn sie eine 429- oder 503-Antwort erhalten.
Das Unternehmen betont, dass WAF-Schutz das Patchen verwundbarer Software nicht ersetzt. PHP-Nutzerinnen und -Nutzern wird empfohlen, Sicherheitsmeldungen zu beachten und die entsprechenden Updates einzuspielen. Die Herausforderung ist unter php-rce.cloudflare.app verfügbar und unterliegt den Bedingungen von Cloudflares HackerOne-Programm.
Quellen: Cloudflare Blog.