Cloudflare通过HackerOne平台推出PHP夺旗挑战赛，邀请安全研究员利用CVE-2026-109618和CVE-2026-109619两个PHP漏洞（php2shell），在沙箱中绕过其WAF防护实现远程代码执行并读取/flag文件。参赛者须提交可复现的私有报告，方法或载荷需实质独特方可获奖。Cloudflare强调WAF不能替代打补丁，用户应及时更新PHP。