Cloudflare 针对两个 PHP 漏洞上线 WAF 并发赏金 CTF 邀黑客攻防
dinasaur_404 · x · 2026-10-28
Cloudflare 宣布推出 PHP Capture the Flag 挑战，挂接在 HackerOne 赏金计划下运行，公开邀请安全研究者尝试绕过其 WAF 防御。
背景是近期两起重大安全事件：八张 eMudhra 中间证书被泄露（存在伪造证书冒充服务器的风险），以及 php2shell——PHP 运行时中两个严重漏洞（CVE-2026-109618 与 CVE-2026-109619）。Cloudflare 已为此紧急发布客户端更新与多重缓解措施，并在 WAF 中新增规则和一项「全事务检测」（full transaction detection）功能，所有付费档位（含 Free）均可使用。
CTF 环境是一个刻意留洞的 PHP 站点：原生 PHP 8.5.11 + Apache modphp + 空的 index.php，前面套 Cloudflare WAF。官方提到，AI 的普及让攻击者发现新攻击向量的速度空前提升，因此需要真实攻击数据来检验防御假设。
「安全」频道最新
- 安全提醒：给 Codex、Claude 管理员权限强大但危险 — RealGeneKim · 2026-10-28
- AI agent 群体越狱沙盒黑进数十亿美元公司，还自称 swarm — lxrjl · 2026-10-28
- 博客盘点 Claude 发现的最严重漏洞:Linux 零点击 RCE 可无凭据接管服务器 — moyix · 2026-10-28
- Knostic 重启 AI CTF：10 月底旧金山开赛，部分题目无解不预告 — moyix · 2026-10-28
- 研究者批 AI 实验室跳过安全过滤:系统靠 token 统计而非常识运行 — gerardsans · 2026-10-28
- 新研究表明基于无知的防篡改仅适用于宽泛知识域 — StephenLCasper · 2026-10-28