Cloudflare lança desafio Capture the Flag de PHP para testar seu WAF com as falhas do php2shell

A Cloudflare abriu um desafio Capture the Flag para medir quanto o WAF dela aguenta contra o php2shell, nome dado ao par de falhas CVE-2026-109618 e CVE-2026-109619 no PHP. O alvo é um ambiente deliberadamente vulnerável: PHP 8.5.11 padrão, Apache 2 via mod_php e um index.php vazio, dentro de um Cloudflare Container, com as regras padrão do WAF ativas na frente. O arquivo /flag fica no sandbox, que é reiniciado a cada poucos minutos.

Para valer prêmio, o pesquisador precisa contornar o WAF, obter execução de código ou comando por uma requisição POST autorizada, ler a flag e validá-la na interface do desafio. Depois, tem de enviar um relatório privado na HackerOne, com PHP CTF no título, trazendo endpoint, payload completo, sequência de requisições e timestamps em UTC. Divulgação de arquivo sem RCE, exploits só locais e redescoberta das falhas conhecidas não contam. A própria Cloudflare lembra que o WAF não substitui a correção: o bloqueio de resposta evita que dados cheguem ao atacante, mas não desfaz o que já ocorreu na origem.

Em 22 de outubro de 2026, o CEVIU noticiou "PHP lança correções emergenciais para dois zero-days explorados e sites podem sofrer quedas", sobre as mesmas CVE-2026-109618 e CVE-2026-109619. Em 22 de outubro de 2026, em "Cloudflare lança no WAF detecção de transação completa que cruza requisição e resposta", a empresa já apresentava o full transaction detection e as response rules. O que muda agora é que essas defesas deixam de ser só anúncio e passam a ser submetidas a teste público, com bypass premiado. Em 23 de outubro de 2026, o CEVIU tratou da reação de fornecedores e agências em "PHP2Shell: fornecedores e agências reagem a falhas de execução remota de código no PHP", e a cobertura de 26 de outubro de 2026 ("PHP-ocalypse") reforça que as correções saíram em 21 de outubro.

Para quem opera PHP em produção, a leitura é simples: o CTF mostra que a Cloudflare admite que o WAF pode ter brechas e quer achá-las. Isso é uma razão a mais para tratar a regra de WAF como camada temporária, não como correção. A prioridade continua sendo atualizar o PHP para as versões corrigidas.