- Un hacker que utiliza el alias KillaBoi accedió a un servidor PHP deliberadamente vulnerable y reclamó su recompensa en Bitcoin, valorada en 2.021,22 USD, tras 19,28 horas.
- La victoria se registró a las 15:47 UTC del 25 de octubre de 2026, según stealmybitcoin.com.
- La estafa puso a prueba qué tan explotable es PHP, días después de que las vulnerabilidades PHP2Shell obligaran a aplicar parches de emergencia el 21 de octubre.
Un investigador de seguridad logró explotar un servidor PHP intencionalmente sin parchear y reclamar su recompensa en Bitcoin en poco más de 19 horas.
La acción pública fue una prueba para ver si las recientes vulnerabilidades PHP2Shell son tan peligrosas como se dice.
Stealmybitcoin.com registró la victoria a las 15:47 UTC del 25 de octubre
Stealmybitcoin.com, el sitio donde se alojaba el juego, verificó que la recompensa había sido reclamada. Su página de resultados muestra que el Bitcoin fue tomado después de 19,28 horas, con el registro de la victoria a las 15:47 UTC del domingo, 25 de octubre.
El premio era de 0,02511679 BTC, equivalentes a 2.021,22 USD en ese momento. La página indica: “Por ahora, no hay bitcoin en este servidor”, añadiendo que podrían seguir más desafíos.
El ganador, conocido como KillaBoi, publicó una explicación del concepto en GitHub. El objetivo ejecutaba PHP 8.4.26.
El informe indica que la única clave privada recuperada no derivaba la dirección del premio mostrada en la página principal. Lo atribuye a un error del creador, reconocido por correo electrónico, y el sitio aún lista el desafío como ganado.
El concurso también fue visto por más personas a través de la cuenta @hackerfantastic, vinculada a la empresa hacker.house. En una publicación del 25 de octubre, la cuenta explicó cómo funcionaba el desafío.
La victoria sigue a los arreglos de emergencia PHP2Shell del 21 de octubre
El experimento se produjo días después de la carrera contra reloj por dos errores críticos en PHP. Los detalles de las vulnerabilidades filtrados en línea llevaron a los mantenedores de PHP a publicar parches de emergencia el 21 de octubre, un día antes de lo previsto, según informó Cryptopolitan.
Las vulnerabilidades, rastreadas como CVE-2026-109618 y CVE-2026-109619 y apodadas PHP2Shell, recibieron ambas una puntuación de gravedad de 9.2 sobre 10 y permiten la ejecución remota de código en servidores sin parchear.
PHP es utilizado por aproximadamente el 70% de los sitios que tienen un lenguaje del lado del servidor conocido, y muchos sitios se cerraron como medida precautoria. Finlandia, los Países Bajos y Francia retiraron temporalmente sus sitios web gubernamentales.
Cloudflare indicó que detectó millones de intentos de explotación, a los que denominó así, en las horas posteriores a la divulgación de los errores.
Se dieron dos meses a una coalición que incluía a OpenAI para realizar las correcciones. OpenAI dijo que las mismas herramientas de IA que encontraron las fallas también podrían ayudar a los atacantes a crear exploits rápidamente.
El operador del sitio ha prometido un informe separado sobre la experiencia de alojarlo.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Cuánto tiempo tardó en ganar el desafío?
19.28 horas, con la victoria registrada a las 15:47 UTC del 25 de octubre de 2026, según stealmybitcoin.com.
¿Cuál fue el premio?
0.02511679 BTC, valorados en $2,021.22 en el momento de la victoria, según la página de resultados del sitio.
¿Cuáles son las vulnerabilidades PHP2Shell?
Dos errores críticos, CVE-2026-109618 y CVE-2026-109619, cada uno calificado con 9.2 sobre 10, que permiten la ejecución remota de código en servidores sin parchear; PHP distribuyó las correcciones el 21 de octubre de 2026.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
