Cloudflare a lancé un défi Capture the Flag (CTF) en PHP dans le cadre de son programme Bug Bounty, invitant les chercheurs en sécurité à tester s’ils peuvent contourner les protections de son pare-feu applicatif (WAF). L’entreprise indique que cet exercice vise à recueillir des résultats en conditions réelles et à renforcer ses défenses contre les vulnérabilités PHP associées à php2shell.
Le défi porte sur CVE-2026-109618 et CVE-2026-109619. Les participants seront confrontés à un environnement volontairement vulnérable, exécutant une version standard de PHP 8.5.11 avec des extensions standard et Apache 2 via mod_php. Les règles WAF par défaut de Cloudflare contre ces vulnérabilités sont placées devant le bac à sable, qui contient un fichier index.php vide et un fichier /flag. L’environnement est réinitialisé toutes les quelques minutes.
Pour être admissibles, les chercheurs doivent utiliser une requête POST autorisée afin d’obtenir l’exécution de code PHP ou de commandes contrôlés par l’attaquant, récupérer le contenu actuel de /flag et vérifier le flag au moyen de l’interface du défi. Ils doivent également envoyer un rapport privé via HackerOne, accompagné de preuves techniques reproductibles, notamment la séquence de requêtes, les en-têtes et la charge utile concernés, la méthode de contournement et les détails de la vérification réussie.
Cloudflare précise que les récompenses exigent un contournement du WAF matériellement distinct. Les rapports utilisant le même mécanisme de contournement sont considérés comme des doublons, même s’ils reposent sur des exploits PHP, des charges utiles, des techniques d’exécution ou des méthodes de récupération du flag différents. La divulgation de fichiers sans exécution de code à distance, l’exécution sans récupération et vérification réussies du flag, ainsi que les chaînes d’exploitation partielles ne sont pas admissibles.
Les tests sont limités aux requêtes POST visant les points de terminaison /php/* protégés par le WAF sur le nom d’hôte du défi. L’accès direct à l’infrastructure sous-jacente, aux autres services Cloudflare et aux systèmes tiers est hors périmètre. Les règles interdisent également les activités de déni de service, les analyses à grande échelle, la persistance et l’ingénierie sociale. Cloudflare demande aux participants de n’utiliser que des données de test et d’interrompre ou de réduire leur activité s’ils reçoivent une réponse 429 ou 503.
L’entreprise souligne que la protection du WAF ne remplace pas l’application de correctifs aux logiciels vulnérables. Elle conseille aux utilisateurs de PHP de suivre les avis de sécurité et d’appliquer les mises à jour pertinentes. Le défi est accessible à l’adresse php-rce.cloudflare.app, sous réserve des conditions du programme HackerOne de Cloudflare.
Sources: Cloudflare Blog.