- Ein Hacker unter dem Pseudonym KillaBoi drang in einen absichtlich anfälligen PHP-Server ein und sicherte sich das Bitcoin-Bounty in Höhe von 2.021,22 $, nachdem er 19,28 Stunden benötigt hatte.
- Der Sieg wurde laut stealmybitcoin.com um 15:47 UTC am 25. Oktober 2026 verbucht.
- Der Stunt testete, wie ausnutzbar PHP ist, wenige Tage nachdem die PHP2Shell-Schwachstellen am 21. Oktober zu Notfallsicherheitsupdates geführt hatten.
Ein Sicherheitsforscher konnte einen absichtlich nicht gepatchten PHP-Server ausnutzen und das Bitcoin-Bonus in etwas mehr als 19 Stunden beanspruchen.
Der öffentliche Stunt diente als Test, um festzustellen, ob die jüngsten PHP2Shell-Schwachstellen so gefährlich sind, wie behauptet wird.
Stealmybitcoin.com protokollierte den Gewinn um 15:47 UTC am 25. Oktober
Stealmybitcoin.com, die Website, auf der das Spiel gehostet wurde, bestätigte, dass der Bonus beansprucht worden war. Die Ergebnisseite zeigt, dass das Bitcoin nach 19,28 Stunden entnommen wurde; der Sieg wurde am Sonntag, dem 25. Oktober, um 15:47 Uhr UTC protokolliert.
Der Preisfonds betrug 0,02511679 BTC, was zu diesem Zeitpunkt 2.021,22 US-Dollar entsprach. Auf der Seite heißt es: „Für jetzt gibt es keine Bitcoins auf diesem Server“, und es wird hinzugefügt, dass möglicherweise weitere Herausforderungen folgen werden.
Der Gewinner, bekannt unter dem Pseudonym KillaBoi, veröffentlichte ein Proof-of-Concept-Write-up auf GitHub. Der Zielserver führte PHP 8.4.26 aus.
In der Ausarbeitung heißt es, dass der eine private Schlüssel, der wiederhergestellt wurde, nicht die auf der Startseite angezeigte Preisadresse ableitete. Dies wird als Fehler des Erstellers bezeichnet, der per E-Mail bestätigt wurde, und die Website listet die Herausforderung dennoch als gewonnen.
Das Contest wurde auch über das Konto @hackerfantastic einer breiteren Öffentlichkeit zugänglich gemacht, das mit dem Unternehmen hacker.house verbunden ist. In einem Beitrag vom 25. Oktober erklärte das Konto, wie die Herausforderung funktionierte.
Der Sieg folgt auf die Notfall-PHP2Shell-Patches vom Oktober 21
Das Experiment fand wenige Tage nach einer hektischen Suche nach zwei kritischen Sicherheitslücken in PHP statt. Die Details der Schwachstellen wurden online bekannt, woraufhin die Verantwortlichen von PHP Notfallsicherungen am 21. Oktober – einen Tag früher als geplant – bereitstellten, wie Cryptopolitan berichtete.
Die Schwachstellen, die als CVE-2026-109618 und CVE-2026-109619 verfolgt werden und unter dem Namen PHP2Shell bekannt sind, haben beide eine Schwerebewertung von 9,2 von 10 Punkten und ermöglichen Remote Code Execution auf nicht gepatchten Servern.
PHP wird von etwa 70 % der Websites verwendet, die eine bekannte serverseitige Sprache nutzen, und viele Seiten schalteten vorsorglich ihre Dienste ab. Finnland, die Niederlande und Frankreich zogen vorübergehend Regierungswebseiten vom Netz.
Cloudflare gab an, dass es in den Stunden nach der Veröffentlichung der Fehler Millionen von Angriffen verzeichnete.
Der Koalition, zu der auch OpenAI gehörte, wurden zwei Monate Zeit gegeben, um Korrekturen vorzunehmen. OpenAI erklärte, dass dieselben KI-Tools, die die Fehler gefunden hatten, Angreifern auch dabei helfen könnten, schnell Exploits zu erstellen.
Der Betreiber der Website hat eine separate Zusammenfassung der Erfahrungen beim Hosting dieser Seite versprochen.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Wie lange hat es gedauert, um die Challenge zu gewinnen?
19,28 Stunden; der Sieg wurde am 25. Oktober 2026 um 15:47 UTC verbucht, laut stealmybitcoin.com.
Wie hoch war der Preis?
0,02511679 BTC, zum Zeitpunkt des Gewinns im Wert von 2.021,22 USD, laut der Ergebnisseite der Website.
Was sind die PHP2Shell-Schwachstellen?
Zwei kritische Fehler, CVE-2026-109618 und CVE-2026-109619, jeweils mit einer Bewertung von 9,2 von 10 Punkten, die Remote Code Execution auf nicht gepatchten Servern ermöglichen; PHP stellte am 21. Oktober 2026 Korrekturen bereit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
