Cloudflare ha lanzado un desafío Capture the Flag de PHP a través de su programa Bug Bounty, en el que invita a investigadores de seguridad a comprobar si pueden eludir las protecciones de su firewall de aplicaciones web (WAF). La empresa señala que el ejercicio busca recopilar hallazgos en condiciones reales y reforzar sus defensas frente a vulnerabilidades de PHP asociadas con php2shell.
El desafío se centra en CVE-2026-109618 y CVE-2026-109619. Los participantes se enfrentarán a un entorno deliberadamente vulnerable que ejecuta PHP 8.5.11 estándar, con extensiones comunes y Apache 2 mediante mod_php. Las reglas predeterminadas del WAF de Cloudflare para estas vulnerabilidades se encuentran delante del entorno aislado, que contiene un index.php vacío y un archivo /flag. El entorno se reinicia cada pocos minutos.
Para cumplir los requisitos, los investigadores deben usar una solicitud POST autorizada para ejecutar código PHP o comandos controlados por el atacante, recuperar el contenido actual de /flag y verificar la bandera mediante la interfaz del desafío. También deben enviar un informe privado a través de HackerOne con pruebas técnicas reproducibles, incluida la secuencia de solicitudes, los encabezados y la carga útil pertinentes, el método de elusión y los detalles de la verificación exitosa.
Cloudflare afirma que las recompensas exigen una técnica de elusión del WAF sustancialmente distinta. Los informes que empleen el mismo mecanismo de elusión se considerarán duplicados, aunque utilicen exploits de PHP, cargas útiles, técnicas de ejecución o métodos de recuperación de la bandera diferentes. La divulgación de archivos sin ejecución remota de código, la ejecución sin recuperar y verificar correctamente la bandera, y las cadenas de explotación parciales no reúnen los requisitos.
Las pruebas se limitan a solicitudes POST dirigidas a los endpoints /php/* del nombre de host del desafío, protegidos por el WAF. El acceso directo a la infraestructura subyacente, a otros servicios de Cloudflare y a sistemas de terceros queda fuera del alcance. Las reglas también prohíben las actividades de denegación de servicio, el escaneo de gran volumen, la persistencia y la ingeniería social. Cloudflare pide a los participantes que utilicen únicamente datos de prueba y que detengan o reduzcan la actividad si reciben una respuesta 429 o 503.
La empresa subraya que la protección del WAF no sustituye la aplicación de parches al software vulnerable. Recomienda a los usuarios de PHP seguir los avisos de seguridad e instalar las actualizaciones pertinentes. El desafío está disponible en php-rce.cloudflare.app, sujeto a las condiciones del programa HackerOne de Cloudflare.
Fuentes: Cloudflare Blog.