Cloudflare 推出 PHP 安全挑战：检验 php2shell 漏洞防护，免费套餐同步覆盖

Cloudflare 于 2026 年 10 月 27 日发布消息，推出面向安全研究人员的 PHP Capture the Flag（CTF，夺旗）挑战，通过其漏洞赏金计划检验 Web 应用防火墙（WAF）对 php2shell 漏洞的防护效果。据来源介绍，此前一周发生了两起重要安全事件：八张 eMudhra 中间证书遭到泄露，带来伪造证书、冒充服务器的可能性；随后，广泛用于网站运行环境的 PHP 被曝出严重漏洞。对使用海外平台、运营跨境网站及开展远程办公的用户而言，这些事件分别涉及连接可信度与服务端安全。

挑战如何检验 PHP 漏洞防护

此次挑战聚焦 CVE-2026-109618 和 CVE-2026-109619，即来源所称 php2shell 背后的两项 PHP 漏洞。Cloudflare 在自身 Container 环境中部署了一套刻意保留漏洞的 PHP 安装，并在前方启用针对这些漏洞的默认 WAF 防护规则，邀请 HackerOne 上的安全研究人员尝试绕过防护、获取旗标。

测试目标运行原版 PHP 8.5.11，带有标准 PHP 扩展，使用 Apache 2 及 mod_php，网站入口为一个空的 index.php。这样的安排把验证重点放在特定运行环境与外围防护的组合上，而不是复杂业务代码。这是一项受控安全测试，并不意味着相关 PHP 漏洞已经失去风险。

Cloudflare 表示，在上述安全事件发生期间，公司推出了客户端更新及多项缓解措施，为 WAF 增加阻止 PHP 漏洞利用的新规则，并引入名为“完整事务检测”的功能。来源明确指出，这些新增能力向所有套餐提供，包括免费套餐。

对跨境账号、支付与远程办公有何影响

从跨境使用场景看，证书风险与 PHP 漏洞需要分开理解。前者关系到用户连接的服务器是否可信，后者涉及网站后端能否抵御漏洞利用。两者都可能影响业务信任基础，但来源并未披露具体海外平台账号失窃、支付通道受损或服务中断的案例，不宜据此扩大推断。

• 普通用户：访问海外账号登录页或支付页面时，遇到证书异常应暂停敏感操作，通过平台官方渠道核实，不要直接忽略浏览器警告。
• 跨境站点运营者：若业务依赖 PHP，应核查运行环境、官方安全更新及 WAF 规则状态，不能仅凭网站能够正常打开判断风险。
• 远程办公团队：应区分终端连接安全与服务端漏洞防护，避免将更换网络或使用 VPN 当作修复服务器漏洞的办法。

解读：免费防护降低门槛，但不替代修复

免费套餐也能获得相关新增防护能力，对资源有限的独立站和小型跨境团队具有实际意义。不过，WAF 是缓解风险的一层措施，不能据此认定底层软件无需更新。运营者仍需结合自身技术栈，关注 PHP 官方安全信息并验证修复情况。

Cloudflare 将此次挑战解释为持续验证防御效果的一部分，并指出 AI 正加快攻击者发现新路径的速度。因此，这项活动的价值不仅在于展示防护，更在于借助真实测试发现假设中的盲点。对跨境业务而言，较稳妥的做法是把连接可信、应用更新和外围防护分别落实，而非依赖单一工具解决所有安全问题。