Cloudflare tổ chức CTF tìm lỗ hổng php2shell
"Cloudflare announced a Capture the Flag (CTF) challenge focused on the recently discovered php2shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619) in PHP 8.5.11. The challenge invites security researchers to bypass Cloudflare's WAF and exploit a vulnerable PHP installation to retrieve a flag, with rewards offered through their Bug Bounty program. The initiative aims to improve defenses against evolving attack vectors."
Các lỗ hổng php2shell cho phép thực thi mã từ xa (RCE), có thể dẫn đến xâm nhập hệ thống. Việc Cloudflare tổ chức CTF giúp cải thiện khả năng phát hiện và ngăn chặn các cuộc tấn công.
Các lỗ hổng PHP có thể ảnh hưởng đến các ứng dụng web sử dụng phiên bản dễ bị tấn công. Doanh nghiệp cần vá lỗi và sử dụng WAF để giảm thiểu rủi ro.
Cloudflare vừa công bố một thử thách Capture the Flag (CTF) liên quan đến các lỗ hổng php2shell (CVE-2026-109618 và CVE-2026-109619) trong PHP 8.5.11. Thử thách này dành cho các nhà nghiên cứu bảo mật, yêu cầu họ vượt qua WAF (Web Application Firewall) của Cloudflare và khai thác lỗ hổng trên một cài đặt PHP để lấy được flag. Phần thưởng sẽ được trao thông qua chương trình Bug Bounty của họ.
Sự kiện này xảy ra sau khi tám chứng chỉ trung gian eMudhra bị xâm phạm, tạo ra khả năng giả mạo chứng chỉ. Cloudflare đã nhanh chóng triển khai các bản cập nhật và biện pháp giảm thiểu rủi ro, bao gồm cả việc cập nhật WAF với các quy tắc mới để chặn các cuộc tấn công khai thác lỗ hổng PHP, cũng như giới thiệu tính năng phát hiện giao dịch đầy đủ. Các tính năng này được cung cấp trên tất cả các gói, kể cả gói miễn phí.
Thử thách CTF tập trung vào hai lỗ hổng CVE-2026-109618 và CVE-2026-109619. Môi trường thử nghiệm sử dụng PHP 8.5.11, Apache 2 (qua mod_php) và một tệp index.php trống bên trong Cloudflare Container, với các quy tắc WAF mặc định được kích hoạt. Mục tiêu là vượt qua WAF, khai thác sandbox PHP và lấy nội dung của tệp /flag. Sandbox được reset sau vài phút, bao gồm cả tệp flag. Chi tiết thử thách và biểu mẫu xác minh flag có tại trang thử thách.
Để nhận thưởng, người tham gia cần chứng minh khả năng thực thi mã PHP hoặc lệnh điều khiển từ xa trong sandbox thông qua yêu cầu POST hợp lệ, sau đó sử dụng RCE để lấy nội dung của /flag và xác minh flag qua giao diện người dùng. Báo cáo cần bao gồm endpoint, payload đầy đủ, chuỗi yêu cầu, bằng chứng POC, giải thích cách vượt qua WAF và thực thi mã, cùng với ID nỗ lực, kết quả xác minh UI và dấu thời gian UTC. Các báo cáo trùng lặp hoặc không hoàn chỉnh sẽ không được xem xét.
Câu hỏi thường gặp
CVE-2026-109618 và CVE-2026-109619 là gì?
Đây là hai lỗ hổng trong PHP 8.5.11, cho phép thực thi mã từ xa (RCE). Cloudflare CTF tập trung vào việc khai thác hai lỗ hổng này để lấy được flag.
Yêu cầu để tham gia CTF là gì?
Người tham gia cần đăng ký tài khoản HackerOne, đồng ý với các điều khoản của chương trình Bug Bounty và tuân thủ các yêu cầu về báo cáo được nêu trong bài viết.
Phần thưởng cho việc tìm thấy lỗ hổng là gì?
Phần thưởng được trao thông qua chương trình Bug Bounty của Cloudflare trên HackerOne, dựa trên mức độ nghiêm trọng và tính độc đáo của lỗ hổng.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Cloudflare tổ chức CTF này cho thấy sự chủ động trong việc tăng cường bảo mật trước các lỗ hổng mới nổi như php2shell. Doanh nghiệp Việt Nam sử dụng PHP nên xem xét tham gia thử thách này để đánh giá khả năng phòng thủ của hệ thống. Điều đáng chú ý là WAF chỉ là một lớp bảo vệ bổ sung; việc vá lỗi phần mềm vẫn là biện pháp quan trọng nhất.