- اختراق هاكر يستخدم اسم KillaBoi لخادم PHP ضعيف بشكل متعمد واستحوذ على مكافآته بالبيتكوين، والتي تبلغ قيمتها 2,021.22 دولار، بعد 19.28 ساعة.
- سُجل الفوز في الساعة 15:47 بتوقيت UTC في 25 أكتوبر 2026، وفقاً لـ stealmybitcoin.com.
- اختبر هذا العمل الخبيث مدى قابلية استغلال PHP، بعد أيام من فرض ثغرات PHP2Shell تصحيحات طارئة في 21 أكتوبر.
تمكّن باحث أمني من استغلال خادم PHP مُهمل التصحيح عمداً، والمطالبة بجائزته بالبيتكوين في أقل من 19 ساعة.
كانت هذه العملية العامة اختباراً لمعرفة ما إذا كانت الثغرات الحديثة في PHP2Shell خطيرة بقدر ما يُقال عنها.
سجّل موقع Stealmybitcoin.com الفوز عند 15:47 بتوقيت UTC في يوم 25 أكتوبر
تحقق موقع Stealmybitcoin.com، الذي استضاف اللعبة، من أن الجائزة قد تم الاستحواذ عليها. وتظهر صفحته النتائج بأن البيتكوين أُخذ بعد 19.28 ساعة، مع تسجيل الفوز في الساعة 15:47 بتوقيت UTC يوم الأحد، 25 أكتوبر.
بلغ مبلغ الجائزة 0.02511679 BTC، وقيمتها当时 2,021.22 دولار. وتقرأ الصفحة: "في الوقت الحالي، لا توجد عملات بيتكوين على هذا الخادم"، مضيفاً أن تحديات أخرى قد تتبع ذلك.
نشر الفائز، الذي يعمل باسم KillaBoi، كتابةً توضيحية لمفهوم الإثبات على GitHub. كان الهدف يعمل بنظام PHP 8.4.26.
يذكر التقرير أن المفتاح الخاص الوحيد الذي تم استعادته لم يؤدِ إلى عنوان الجائزة المعروض على الصفحة الرئيسية. ويصف هذا بأنه خطأ من قِبل المُنشئ، وقد تم الاعتراف به عبر البريد الإلكتروني، ولا يزال الموقع يعرض التحدي على أنه فُاز.
كما شاهد المزيد من الأشخاص المسابقة عبر حساب @hackerfantastic، المرتبط بشركة hacker.house. وفي منشور بتاريخ 25 أكتوبر، أوضح الحساب كيفية عمل التحدي.
يأتي الفوز بعد إصلاحات طارئة لـ PHP2Shell في يوم 21 أكتوبر
جاءت التجربة بعد أيام من سباق محموم حول ثغرتين حرجتين في PHP. تسربت تفاصيل الثغرات عبر الإنترنت، مما دفع مشرفي PHP إلى إصدار إصلاحات طارئة في 21 أكتوبر، قبل الموعد المحدد بيوم واحد، كما أفاد Cryptopolitan.
تلقّت الثغرات، المسجّلة تحت مسمّى CVE-2026-109618 وCVE-2026-109619 والمُطلَق عليها اسم PHP2Shell، درجة خطورة تبلغ 9.2 من أصل 10، وتُمكّن من تنفيذ الأكواد عن بُعد على الخوادم غير المُرقعة.
يُستخدم PHP في نحو 70% من المواقع التي تعتمد لغة جانب خادم معروفة، وأغلقت العديد من المواقع كنوع من الاحتياط. وسحبت فنلندا وهولندا وفرنسا مؤقتاً مواقع حكومية من الإنترنت.
أفادت Cloudflare بأنها رصدت ملايين ما وصفته بمحاولات الاستغلال في الساعات التي تلت إعلان الثغرات للعلن.
مُنحت تحالفٌ ضمّ شركة OpenAI شهرين لإجراء التصحيحات. وذكرت OpenAI أن أدوات الذكاء الاصطناعي نفسها التي اكتشفت الثغرات يمكنها أيضاً مساعدة المهاجمين على إنشاء استغلالات بسرعة.
أعلن مشغّل الموقع عن وعده بنشر تقرير منفصل حول تجربة استضافته له.
أذكى العقول في عالم العملات الرقمية يقرأون بالفعل نشرتنا الإخبارية. هل تريد الانضمام؟ انضم إليهم.
الأسئلة الشائعة
كم استغرق الفوز بالتحدي من الوقت؟
19.28 ساعة، سُجِّل الفوز فيها عند الساعة 15:47 بتوقيت UTC في 25 أكتوبر 2026، وفقاً لموقع stealmybitcoin.com.
ما مقدار الجائزة؟
0.02511679 BTC، بقيمة 2,021.22 دولار أمريكي وقت الفوز، وفقاً لصفحة النتائج على الموقع.
ما هي ثغرات PHP2Shell؟
ثغرتان حرجتان، CVE-2026-109618 وCVE-2026-109619، كلٌّ منهما مُقيّم بـ 9.2 من أصل 10، تُمكِّنان من تنفيذ الأكواد عن بُعد على الخوادم غير المُرقعة؛ وقد أرفق PHP التصحيحات في 21 أكتوبر 2026.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تُجرى بناءً على المعلومات الواردة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
راندا موسى
رندا موسى محررة وصحفية في كريبتوبوليتان تغطي التكنولوجيا والذكاء الاصطناعي والروبوتات والعملات الرقمية والاحتيال والاختراقات. عملت في مجال العملات الرقمية منذ عام 2017. شغلت مناصب في Forward Protocol وAmaZix وCryptosomniac. وتحمل رندا درجة البكالوريوس في الهندسة الكهربائية والإلكترونيات من جامعة برادفورد.
