Для вашего js используйте $javascript->link('ajax_captcha',false);
Не пропустите расширение. false поместит его в раздел HTML. Это будет искать сценарий в webroot/js
Лично я бы просто использовал стандартную директиву php include для стороны php, учитывая, что расположение будет относительно webroot, т.е. '/myPHP/captcha.php'
будет webroot/myPHP/captcha.php
.
Не забудьте, CakePHP - это PHP.