A Cloudflare lançou um desafio Capture the Flag de PHP por meio de seu programa Bug Bounty, convidando pesquisadores de segurança a testar se conseguem contornar as proteções de seu firewall de aplicações web (WAF). A empresa afirma que o exercício busca reunir descobertas do mundo real e reforçar suas defesas contra vulnerabilidades do PHP associadas ao php2shell.
O desafio se concentra nas CVE-2026-109618 e CVE-2026-109619. Os participantes enfrentarão um ambiente deliberadamente vulnerável que executa o PHP 8.5.11 padrão, com extensões padrão, e o Apache 2 via mod_php. As regras padrão do WAF da Cloudflare para as vulnerabilidades ficam diante do ambiente isolado, que contém um index.php vazio e um arquivo /flag. O ambiente é reiniciado a cada poucos minutos.
Para se qualificarem, os pesquisadores devem usar uma solicitação POST autorizada para obter execução de código PHP ou de comandos controlada pelo atacante, recuperar o conteúdo atual de /flag e validar a flag pela interface do desafio. Também devem enviar um relatório privado pelo HackerOne com evidências técnicas reproduzíveis, incluindo a sequência de solicitações, os cabeçalhos e o payload relevantes, o método de contorno e os detalhes da validação bem-sucedida.
A Cloudflare afirma que as recompensas exigem um contorno do WAF materialmente distinto. Relatórios que usem o mesmo mecanismo de contorno serão considerados duplicados, mesmo que empreguem diferentes exploits de PHP, payloads, técnicas de execução ou métodos de recuperação da flag. A divulgação de arquivos sem execução remota de código, a execução sem recuperação e validação bem-sucedidas da flag e as cadeias parciais não são elegíveis.
Os testes se limitam a solicitações POST contra os endpoints /php/* protegidos pelo WAF no hostname do desafio. O acesso direto à infraestrutura subjacente, a outros serviços da Cloudflare e a sistemas de terceiros está fora do escopo. As regras também proíbem atividades de negação de serviço, varreduras em alto volume, persistência e engenharia social. A Cloudflare pede aos participantes que usem apenas dados de teste e interrompam ou reduzam a atividade caso recebam uma resposta 429 ou 503.
A empresa ressalta que a proteção do WAF não substitui a aplicação de patches em softwares vulneráveis. Ela recomenda que usuários do PHP acompanhem os avisos de segurança e instalem as atualizações pertinentes. O desafio está disponível em php-rce.cloudflare.app, sujeito aos termos do programa HackerOne da Cloudflare.
Fontes: Cloudflare Blog.