- Un hacker che utilizza lo pseudonimo KillaBoi si è infiltrato in un server PHP deliberatamente vulnerabile e ha rivendicato il bounty Bitcoin, del valore di 2.021,22 $, dopo 19,28 ore.
- La vittoria è stata registrata alle 15:47 UTC del 25 ottobre 2026, secondo stealmybitcoin.com.
- Lo stunt ha testato quanto sia sfruttabile PHP, a pochi giorni dalle vulnerabilità PHP2Shell che avevano imposto patch di emergenza il 21 ottobre.
Un ricercatore di sicurezza è riuscito a sfruttare un server PHP non patchato intenzionalmente e a riscuotere la ricompensa in Bitcoin in poco più di 19 ore.
Lo stunt pubblico era un test per verificare se le recenti vulnerabilità PHP2Shell fossero davvero pericolose come si sosteneva.
Stealmybitcoin.com ha registrato la vittoria alle 15:47 UTC del 25 ottobre
Stealmybitcoin.com, il sito dove si svolgeva la sfida, ha verificato che la ricompensa fosse stata riscossa. La pagina dei risultati mostra che il Bitcoin è stato prelevato dopo 19,28 ore, con la vittoria registrata alle 15:47 UTC di domenica 25 ottobre.
Il montepremi era di 0,02511679 BTC, equivalenti a 2.021,22 $ al momento. La pagina recita: “Per ora, non ci sono bitcoin su questo server”, aggiungendo che potrebbero seguire altre sfide.
Il vincitore, noto con lo pseudonimo KillaBoi, ha pubblicato una scrittura di proof-of-concept su GitHub. Il server target eseguiva PHP 8.4.26.
La relazione tecnica indica che una delle chiavi private recuperate non derivava l’indirizzo del premio mostrato nella homepage. Viene definito un errore del creatore, riconosciuto via email, e il sito elenca comunque la sfida come vinta.
La competizione è stata vista da più persone attraverso l'account @hackerfantastic, collegato all'azienda hacker.house. In un post del 25 ottobre, l'account ha spiegato come funzionava la sfida.
La vittoria segue le correzioni di emergenza PHP2Shell del 21 ottobre
L'esperimento è arrivato a pochi giorni dalla corsa contro il tempo per due bug critici in PHP. I dettagli delle vulnerabilità sono trapelati online, spingendo i manutentori di PHP a rilasciare correzioni d'emergenza il 21 ottobre, un giorno prima del previsto, come riportato da Cryptopolitan.
Le vulnerabilità, tracciate come CVE-2026-109618 e CVE-2026-109619 e denominate PHP2Shell, hanno entrambe ricevuto un punteggio di gravità di 9,2 su 10 e consentono l'esecuzione remota di codice sui server non patchati.
PHP è utilizzato da circa il 70% dei siti che dispongono di un linguaggio lato server noto, e molti siti sono stati spenti per precauzione. Finlandia, Paesi Bassi e Francia hanno tutti ritirato temporaneamente i siti web governativi.
Cloudflare ha dichiarato di aver visto milioni di tentativi di sfruttamento, definiti tali, nelle ore successive alla divulgazione dei bug.
Sono stati concessi due mesi a una coalizione che includeva OpenAI per apportare le correzioni. OpenAI ha dichiarato che gli stessi strumenti AI che hanno individuato le falle potrebbero anche aiutare gli attaccanti a creare rapidamente exploit.
L'operatore del sito ha promesso una relazione separata sull'esperienza di averlo ospitato.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Quanto tempo ha richiesto la sfida per essere vinta?
19 ore e 28 minuti, con la vittoria registrata alle 15:47 UTC del 25 ottobre 2026, secondo stealmybitcoin.com.
Qual era il premio?
0,02511679 BTC, equivalenti a 2.021,22 $ al momento della vittoria, secondo la pagina dei risultati del sito.
Quali sono le falle PHP2Shell?
Due bug critici, CVE-2026-109618 e CVE-2026-109619, ciascuno valutato 9,2 su 10, che consentono l'esecuzione remota di codice sui server non patchati; PHP ha rilasciato le correzioni il 21 ottobre 2026.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
