- Хакер под ником KillaBoi взломал специально уязвимый PHP-сервер и получил обещанное вознаграждение в биткоинах на сумму 2021,22 доллара США через 19,28 часа.
- Победа была зарегистрирована в 15:47 UTC 25 октября 2026 года согласно данным stealmybitcoin.com.
- Этот эксперимент показал, насколько уязвим PHP, спустя несколько дней после того, как уязвимости PHP2Shell вынудили экстренно выпустить патчи 21 октября.
Исследователь безопасности смог эксплуатировать специально оставленный без патчей сервер PHP и получить его Bitcoin-приз всего за чуть более 19 часов.
Публичный эксперимент был проведен, чтобы проверить, насколько опасны недавние уязвимости PHP2Shell, как о них сообщают.
Stealmybitcoin.com зафиксировал победу в 15:47 UTC 25 октября
Сайт Stealmybitcoin.com, на котором проходила игра, подтвердил, что приз был получен. На странице с результатами указано, что биткоин был изъят через 19,28 часа, а победа была зафиксирована в 15:47 UTC в воскресенье, 25 октября.
Призовой фонд составлял 0,02511679 BTC, что на тот момент равнялось $2 021,22. На странице говорится: «На данный момент на этом сервере нет биткоинов», добавляя, что могут последовать и другие испытания.
Победитель под ником KillaBoi опубликовал описание концепции на GitHub. На целевом сервере использовалась PHP 8.4.26.
В отчете указывается, что один из восстановленных закрытых ключей не привел к адресу приза, указанному на главной странице. Это называется ошибкой создателя, которая была признана им по электронной почте, и сайт все равно помечает испытание как пройденное.
О конкурсе также узнала более широкая аудитория благодаря аккаунту @hackerfantastic, связанному с компанией hacker.house. В посте от 25 октября этот аккаунт объяснил, как проходило соревнование.
Победа следует за экстренными исправлениями PHP2Shell от 21 октября
Эксперимент состоялся спустя несколько дней после спешки с исправлением двух критических уязвимостей в PHP. Подробности об уязвимостях утекли в сеть, что побудило разработчиков PHP выпустить экстренные обновления 21 октября — на день раньше графика, как сообщило Cryptopolitan.
Уязвимости, отслеживаемые как CVE-2026-109618 и CVE-2026-109619 и получившие название PHP2Shell, обе имеют оценку опасности 9,2 из 10 и позволяют выполнять удалённый код на незащищённых серверах.
PHP используется примерно в 70% сайтов, имеющих известный серверный язык программирования, и многие сайты были временно отключены в качестве меры предосторожности. Финляндия, Нидерланды и Франция временно вывели правительственные сайты из сети.
Cloudflare сообщила, что зафиксировала миллионы попыток эксплуатации, которые она назвала таковыми, в часы после того, как уязвимости стали публичными.
Коалиции, включавшей OpenAI, было предоставлено два месяца для устранения недостатков. В OpenAI заявили, что те же инструменты ИИ, которые обнаружили уязвимости, могут также помочь злоумышленникам быстро создавать эксплойты.
Оператор сайта пообещал опубликовать отдельный материал с описанием опыта размещения ресурса.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Часто задаваемые вопросы
Сколько времени потребовалось для победы в соревновании?
19 часов 28 минут; победа была зафиксирована 25 октября 2026 года в 15:47 UTC, согласно данным stealmybitcoin.com.
Какова была сумма приза?
0,02511679 BTC, что составляло 2021,22 доллара США на момент победы, согласно странице результатов на сайте.
Что такое уязвимости PHP2Shell?
Две критические ошибки, CVE-2026-109618 и CVE-2026-109619, каждая с оценкой 9,2 из 10, позволяющие выполнять удалённый код на незащищённых серверах; исправления для PHP были выпущены 21 октября 2026 года.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ранда Моуз
Ранда Мозес — редактор и репортёр Cryptopolitan, освещающая технологии, ИИ, робототехнику, криптовалюты, мошенничество и взломы. Она работает в сфере криптовалют с 2017 года. Ранда занимала должности в Forward Protocol, AmaZix и Cryptosomniac. Ранда имеет степень в области электротехники и электроники, полученную в Университете Брэдфорда.
