Na semana passada, a Cloudflare precisou lidar com dois problemas sérios. Primeiro, oito certificados intermediários da eMudhra foram comprometidos, o que abria a possibilidade de certificados falsos usados para se passar por servidores. Depois veio o php2shell, um conjunto de vulnerabilidades graves no PHP, linguagem que roda por trás de grande parte da Web.

A empresa atualizou seu WAF, um firewall para aplicações web que funciona como um porteiro entre a internet e o site, com novas regras para bloquear tentativas de explorar essas falhas. Também lançou um recurso chamado full transaction detection. Como de costume nesses casos, esses recursos foram liberados para todos os planos, inclusive o gratuito.

Agora, a Cloudflare lançou o PHP Capture the Flag, um desafio em que pesquisadores tentam contornar a proteção do WAF e recuperar um arquivo secreto em um ambiente de teste. O desafio usa as duas falhas por trás do php2shell, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, e é conduzido pelo programa de bug bounty da empresa na plataforma HackerOne. Os dados de teste são registrados, então os participantes devem usar apenas informações de teste.

A empresa lembra que o WAF não substitui a correção do software. Ele pode impedir que dados expostos cheguem a um atacante, mas não desfaz ações já executadas no servidor. Quem usa PHP deve seguir os avisos de segurança mais recentes do projeto e aplicar as atualizações indicadas. O desafio é por tempo limitado e pode ser encerrado a qualquer momento.