- Un pirate informatique utilisant le pseudonyme KillaBoi s'est introduit dans un serveur PHP délibérément vulnérable et a remporté sa prime Bitcoin, évaluée à 2 021,22 $, après 19,28 heures.
- La victoire a été enregistrée à 15 h 47 UTC le 25 octobre 2026, selon stealmybitcoin.com.
- Le stunt a testé la vulnérabilité de PHP, quelques jours après que les failles PHP2Shell ont imposé des correctifs d'urgence le 21 octobre.
Un chercheur en sécurité a réussi à exploiter un serveur PHP intentionnellement non corrigé et à réclamer sa prime Bitcoin en un peu plus de 19 heures.
Ce stunt public était un test visant à vérifier si les récentes failles PHP2Shell étaient aussi dangereuses qu'on le disait.
Stealmybitcoin.com a enregistré la victoire à 15:47 UTC le 25 octobre
Stealmybitcoin.com, le site où le jeu était hébergé, a vérifié que la prime avait été réclamée. Sa page de résultats indique que le Bitcoin a été récupéré après 19,28 heures, avec l'enregistrement de la victoire à 15h47 UTC le dimanche 25 octobre.
Le pot de prix s'élevait à 0,02511679 BTC, valant 2 021,22 $ à cette époque. La page indique : « Pour l'instant, il n'y a plus de bitcoin sur ce serveur », ajoutant que d'autres défis pourraient suivre.
Le gagnant, connu sous le nom de KillaBoi, a publié une démonstration conceptuelle sur GitHub. Le serveur cible exécutait PHP 8.4.26.
L'analyse précise que la seule clé privée récupérée ne permettait pas de dériver l'adresse du prix affichée sur la page d'accueil. Le créateur a reconnu cette erreur par e-mail, et le site liste toujours le défi comme remporté.
L'expérience a également été relayée par le compte @hackerfantastic, lié à l'entreprise hacker.house. Dans un post daté du 25 octobre, ce compte a expliqué le fonctionnement du défi.
Cette victoire fait suite aux correctifs d'urgence PHP2Shell du 21 octobre
Cette expérience fait suite à quelques jours d'agitation provoquée par deux bugs critiques dans PHP. Les détails des vulnérabilités ont fuité en ligne, incitant les mainteneurs de PHP à publier des correctifs d'urgence le 21 octobre, soit un jour avant la date prévue, comme l'a rapporté Cryptopolitan.
Les vulnérabilités, répertoriées sous les identifiants CVE-2026-109618 et CVE-2026-109619 et surnommées PHP2Shell, ont toutes deux obtenu un score de sévérité de 9,2 sur 10 et permettent l'exécution de code à distance sur les serveurs non corrigés.
PHP est utilisé par environ 70 % des sites disposant d'un langage côté serveur connu, et de nombreux sites ont été mis hors ligne par précaution. La Finlande, les Pays-Bas et la France ont temporairement retiré leurs sites gouvernementaux d'Internet.
Cloudflare a indiqué avoir détecté des millions de tentatives d'exploitation qu'il qualifiait ainsi, dans les heures suivant la divulgation des bugs.
Deux mois ont été accordés à une coalition incluant OpenAI pour apporter des correctifs. OpenAI a déclaré que les mêmes outils d'IA qui ont détecté les failles pourraient également aider les attaquants à créer rapidement des exploits.
L'opérateur du site a promis de publier un article détaillé séparé relatant son expérience d'hébergement.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Combien de temps a duré le challenge avant sa résolution ?
19 heures et 28 minutes, avec la victoire enregistrée à 15 h 47 UTC le 25 octobre 2026, selon stealmybitcoin.com.
Quel était le montant du prix ?
0,02511679 BTC, valant 2 021,22 $ au moment de la victoire, selon la page des résultats du site.
En quoi consistent les failles PHP2Shell ?
Deux bugs critiques, CVE-2026-109618 et CVE-2026-109619, chacun noté 9,2 sur 10, permettant l'exécution de code à distance sur les serveurs non corrigés ; PHP a publié des correctifs le 21 octobre 2026.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
