Cloudflare 針對 PHP 漏洞推出奪旗挑戰賽

背景

上週發生了兩起網路安全事件：八張 eMudhra 中間憑證遭竊，以及 PHP 執行環境出現嚴重漏洞（被稱為 php2shell）。PHP 是支撐大量網路服務的執行環境，憑證遭竊可能導致伺服器被偽造憑證冒充，而 php2shell 漏洞則可能導致遭受攻擊。Cloudflare 在事件發生期間更新了客戶端、部署了多項緩解措施，並更新了 Web 應用防火牆（WAF，一種過濾網路流量的安全機制）規則以阻擋針對 PHP 漏洞的攻擊，同時推出了名為「完整交易偵測」（full transaction detection）的新功能。這些新功能已開放給所有方案，包括免費版。 官方原文・Cloudflare Blog

發生什麼事

Cloudflare 於 10 月 27 日透過其 Bug Bounty（漏洞獎勵）計畫，在 HackerOne 平台上啟動了「Cloudflare PHP Capture the Flag challenge」（Cloudflare PHP 奪旗挑戰賽）。這是一項限時挑戰，Cloudflare 在 WAF 後方設置了一個故意含有漏洞的 PHP 環境，邀請安全研究人員嘗試繞過防護並取得「旗標」（flag，即挑戰成功的證明檔案）。 官方原文・Cloudflare Blog

重點內容

挑戰賽聚焦於 CVE-2026-109618 和 CVE-2026-109619，這兩個 PHP 漏洞是 php2shell 背後的原因。目標環境運行標準的 PHP 8.5.11（含標準 PHP 擴充功能）、Apache 2（透過 mod_php 模組），以及一個空的 index.php 檔案，全部部署在 Cloudflare Container（容器化執行環境）中。Cloudflare 在該環境前方啟用了針對這些漏洞的預設 WAF 防護規則。沙箱環境內有一個名為 /flag 的檔案，且沙箱每隔幾分鐘會重置一次，包括旗標檔案。 官方原文・Cloudflare Blog

參與者需註冊 HackerOne 帳號並同意相關條款。任務目標是繞過 WAF 防護，利用 PHP 沙箱漏洞執行攻擊者控制的 PHP 程式碼或命令（透過授權的 POST 請求），並透過遠端程式碼執行（RCE，一種讓攻擊者在目標系統上執行任意程式碼的技術）讀取 /flag 的內容，最後在挑戰介面驗證成功。提交報告時需提供端點、完整載荷（payload，攻擊用的資料）、請求序列、原始請求/回應捕獲、以及繞過 WAF 的原理說明。僅有在沙箱內成功執行 RCE 並取得旗標才算有效，單純的檔案洩露、未成功取得旗標的 RCE、僅限本地的漏洞利用或重複發現已知漏洞均不符合資格。 原文

對使用者的意義

此挑戰主要面向安全研究人員，旨在收集真實世界的資料以強化 Cloudflare 的防禦假設。對於運行 PHP 的開發者與企業而言，Cloudflare 強調 WAF 並非修補漏洞的替代品。雖然 WAF 可以阻擋攻擊並防止資料外洩，但無法撤銷已在源伺服器上執行的動作。因此，運行 PHP 的使用者應遵循最新的 PHP 安全公告並套用相關更新。 官方原文・Cloudflare Blog

限制與未定事項

測試僅授權針對挑戰主機名的 WAF 保護端點 /php/*（僅限 POST 方法）。其他 Cloudflare 服務、底層基礎設施、上游 PHP 專案及第三方系統均在範圍之外。禁止拒絕服務攻擊、高流量掃描、持久化存取、社會工程學攻擊或攻擊其他參與者。若收到 HTTP 429 或 503 錯誤，應停止請求。Cloudflare 保留隨時暫停或終止挑戰的權利，一旦從 HackerOne 移除即視為正式終止。 官方原文・Cloudflare Blog