클라우드플레어, PHP 취약점 노린 WAF 우회 해킹 대회 열어

클라우드플레어가 10월 27일 PHP 취약점을 소재로 한 해킹 대회(CTF)를 공개했다. 참가자가 자사 웹 애플리케이션 방화벽(WAF)을 우회해 서버의 플래그 파일을 찾아내는 방식이다.

회사는 지난주 이뮤드라 중간 인증서 8개가 유출된 사건과 PHP에서 발견된 'php2shell' 취약점에 대응했다고 설명했다. 이 과정에서 새 WAF 규칙과 '전체 트랜잭션 탐지' 기능을 내놓았고, 무료 요금제를 포함한 모든 요금제에 제공했다.

대회 환경은 PHP 8.5.11과 아파치 2를 올린 클라우드플레어 컨테이너다. 앞단에는 해당 취약점용 기본 WAF 규칙이 켜져 있고, 몇 분마다 초기화되는 /flag 파일이 목표다. 대상 취약점은 CVE-2026-109618과 CVE-2026-109619다.

참가하려면 해커원 계정을 만들고 약관에 동의해야 한다. 허가된 POST 요청으로 임의 코드 실행을 보인 뒤 플래그를 확인하고, 제목에 'PHP CTF'를 넣은 비공개 보고서를 제출해야 한다. 보고서에는 요청 내용과 우회 방식, 시각 기록을 담아야 한다.

파일 노출만 있거나 플래그를 회수하지 못한 경우, 이미 알려진 취약점의 재발견은 인정되지 않는다. 같은 취약점이라도 기존과 뚜렷이 다른 우회 방식이어야 하며, 가장 먼저 낸 재현 가능한 보고서만 검토한다.

서비스 거부 공격, 대량 스캔, 다른 참가자 공격은 금지된다. 포상 금액은 글에 적혀 있지 않다. 클라우드플레어는 WAF가 패치를 대신할 수 없다며 PHP 보안 권고에 따라 업데이트하라고 당부했다.

댓글 0