Cloudflare ha lanciato una sfida Capture the Flag (CTF) in PHP tramite il suo programma Bug Bounty, invitando i ricercatori di sicurezza a verificare se riescono ad aggirare le protezioni del suo firewall per applicazioni web (WAF). L’azienda afferma che l’esercizio mira a raccogliere risultati concreti e a rafforzare le proprie difese contro le vulnerabilità PHP associate a php2shell.
La sfida si concentra su CVE-2026-109618 e CVE-2026-109619. I partecipanti si troveranno di fronte a un ambiente deliberatamente vulnerabile che esegue PHP 8.5.11 standard con estensioni standard e Apache 2 tramite mod_php. Le regole WAF predefinite di Cloudflare per queste vulnerabilità si trovano davanti alla sandbox, che contiene un file index.php vuoto e un file /flag. L’ambiente viene ripristinato ogni pochi minuti.
Per qualificarsi, i ricercatori devono usare una richiesta POST autorizzata per ottenere l’esecuzione di codice PHP o comandi controllati dall’attaccante, recuperare il contenuto corrente di /flag e verificare la flag tramite l’interfaccia della sfida. Devono inoltre inviare una segnalazione privata tramite HackerOne, corredata di prove tecniche riproducibili, tra cui la sequenza delle richieste, le intestazioni e il payload pertinenti, il metodo di aggiramento e i dettagli della verifica riuscita.
Cloudflare afferma che i premi richiedono un bypass del WAF sostanzialmente distinto. Le segnalazioni che utilizzano lo stesso meccanismo di aggiramento sono considerate duplicati, anche se impiegano exploit PHP, payload, tecniche di esecuzione o metodi di recupero della flag diversi. La divulgazione di file senza esecuzione di codice remoto, l’esecuzione senza recupero e verifica riusciti della flag e le catene parziali non sono idonee.
I test sono limitati alle richieste POST dirette agli endpoint /php/* protetti dal WAF sul nome host della sfida. L’accesso diretto all’infrastruttura sottostante, ad altri servizi Cloudflare e a sistemi di terze parti non rientra nell’ambito consentito. Le regole vietano inoltre gli attacchi denial-of-service, le scansioni ad alto volume, la persistenza e l’ingegneria sociale. Cloudflare chiede ai partecipanti di usare esclusivamente dati di test e di interrompere o ridurre l’attività se ricevono una risposta 429 o 503.
L’azienda sottolinea che la protezione del WAF non sostituisce l’applicazione delle patch al software vulnerabile. Consiglia agli utenti PHP di seguire gli avvisi di sicurezza e applicare gli aggiornamenti pertinenti. La sfida è disponibile all’indirizzo php-rce.cloudflare.app, nel rispetto dei termini del programma HackerOne di Cloudflare.
Fonti: Cloudflare Blog.