ハッカーが19時間で2,000ビットコインのPHPチャレンジを突破

セキュリティ研究者は、意図的にパッチが当てられていないPHPサーバーを攻撃し、わずか19時間余りでビットコインの報奨金を獲得することに成功した。

この公開スタントは、最近のPHP2Shellの欠陥が言われているほど危険かどうかを確認するためのテストであった。

Stealmybitcoin.comは、15:47 UTC、10月25に勝利を記録した。

ゲームが開催されていたサイト「Stealmybitcoin.com」は、報奨金がClaimされたことを確認した。結果ページによると、ビットコインは19.28時間後に奪われ、勝利は10月25日（日）の15:47 UTCに記録された。

賞金は0.02511679 BTCで、当時の価値は2,021.22ドルだった。ページには「現時点では、このサーバーにはビットコインがありません」と記載され、さらに別のチャレンジが続く可能性があるとしている。

KillaBoiというハンドルネームの勝者は、概念実証の解説をGitHubに投稿しました。対象サーバーはPHP 8.4.26を実行していました。

記事によると、回復された秘密鍵の一つは、ホームページに表示されている賞金アドレスを導出していなかった。これは作成者のミスであり、メールで認められたものの、サイトはまだこのチャレンジを「完了済み」としてリストしている。

このコンテストは、hacker.houseと関連する@hackerfantasticアカウントを通じてより多くの人々に認知されました。10月25日の投稿で、同アカウントはチャレンジの仕組みを説明しました。

今回の勝利は、10月21に緊急対応されたPHP2Shellの修正に続くものである。

今回の実験は、PHPにおける2つの重大なバグをめぐる駆け引きの数日後に行われました。脆弱性の詳細がオンラインで漏洩し、PHPのメンテナーはスケジュールより1日早い10月21日に緊急修正版をリリースしました（これはCryptopolitanが報じた内容です）。

PHP2Shellと名付けられたCVE-2026-109618およびCVE-2026-109619として追跡される脆弱性は、どちらも10点満点中9.2の深刻度スコアを受け、パッチ未適用のサーバーでリモートコード実行を可能にします。

PHPは既知のサーバーサイド言語を持つサイトの約70%で使用されており、多くのサイトが予防策としてシャットダウンしました。フィンランド、オランダ、フランスはすべて一時的に政府ウェブサイトをオフラインにしました。

Cloudflareは、バグが公開されてからの数時間で、数百万件の「攻撃試行」を確認したと述べています。

OpenAIを含む連合には修正を行うために2ヶ月が与えられました。OpenAIは、欠陥を発見したのと同じAIツールが攻撃者がエクスプロイトを迅速に作成するのを助ける可能性があると述べています。

サイトの運営者は、ホスティングした経験に関する別個のレポートを提供すると約束しています。