我们正在推出一项PHP Capture the Flag挑战，与我们的Bug Bounty计划集成，以测试我们的WAF保护。安全研究人员被邀请绕过我们的防御并捕获旗帜，以帮助使互联网更安全。上周是互联网安全历史书籍的一周。首先，八个eMudhra中间证书被泄露，造成伪造证书的可能性，可用于模拟服务器。
然后是php2shell： PHP中的严重漏洞，这是Web大部分背后的运行时。随着这些事件的展开， Cloudflare全天候工作，以保护我们的客户并帮助保护互联网。我们发布了客户端更新和多项缓解措施，更新了Web应用程序防火墙(WAF)的新规则，以阻止攻击者利用PHP漏洞，并引入了一项名为完全事务检测的新功能。
与往常一样，这些新功能适用于所有计划，包括免费计划。测试我们的WAF保护系统免受此类漏洞的攻击始终是一个持续的过程，而不是一次性的事件。人工智能的广泛采用使攻击者能够以前所未有的速度和效率发现新的媒介，因此收集真实世界的数据来测试我们的假设和加强防御至关重要。
这就是为什么我们今天要启动Cloudflare PHP Capture the Flag挑战，通过我们的Bug Bounty计划运行。我们在WAF后面故意安装了一个易受攻击的PHP，我们邀请HackerOne上的安全研究人员尝试绕过保护并捕获标记。Capture the Flag （ CTF ）的工作原理我们保持简单。
挑战的重点是CVE-2026-109618和CVE-2026-109619，这是php2shell背后的两个PHP漏洞。目标在Cloudflare容器内运行库存PHP 8.5.11 （带有标准PHP扩展）、Apache 2 （通过mod_php ）和空的index.php，并在其前面启用了这些漏洞的默认WAF保护规则。沙盒内有一个名为/flag的文件。沙盒每隔几分钟重置一次，包括标志文件。