- 一名使用KillaBoi作为昵称的黑客攻入了一台故意存在漏洞的PHP服务器，并在19.28小时后领取了价值2,021.22美元的比特币赏金。
- 根据stealmybitcoin.com的记录，此次胜利发生于2026年10月25日UTC时间15:47。
- 这次行动测试了PHP的可利用程度，此前PHP2Shell漏洞迫使官方在10月21日紧急打补丁。
一名安全研究人员成功利用了一个故意未修补的PHP服务器，并在不到19小时内领取了其比特币赏金。
此次公开行动是一次测试，旨在验证近期PHP2Shell漏洞是否如传闻中那般危险。
Stealmybitcoin.com于10月25 15:47 UTC记录了这一胜利。
该游戏的主办网站Stealmybitcoin.com已确认赏金已被领取。其结果页面显示，比特币是在19.28小时后被取走的，胜利记录时间为10月25日星期日的15:47 UTC。
奖池总额为0.02511679 BTC，当时价值2,021.22美元。页面上写道：“目前，此服务器上已无比特币”，并补充称未来可能会有更多挑战。
获胜者KillaBoi在GitHub上发布了一篇概念验证（PoC）技术文章。目标服务器运行的是PHP 8.4.26版本。
技术总结指出，它恢复的一个私钥并未推导出主页上显示的奖金地址。这被认为是创建者的失误，已通过电子邮件得到承认，但网站仍将该挑战列为已完成。
该竞赛还通过隶属于hacker.house公司的@hackerfantastic账号被更多人知晓。该账号于10月25日发布帖子，详细解释了挑战赛的运作机制。
此次胜利紧随10月21 PHP2Shell紧急修复之后
此次实验发生在两天前PHP出现两个严重漏洞的混乱事件之后。这些漏洞的细节在网上泄露，促使PHP维护人员提前一天于10月21日发布了紧急修复补丁，正如Cryptopolitan所报道的那样。
这些漏洞被追踪为CVE-2026-109618和CVE-2026-109619，并被称为PHP2Shell，两者的严重程度评分均为9.2/10，可在未修补的服务器上实现远程代码执行。
PHP被约70%拥有已知服务器端语言的网站所使用，许多网站出于预防目的暂时关闭。芬兰、荷兰和法国均曾临时将政府网站下线。
Cloudflare表示，在漏洞公开后的数小时内，他们目睹了数百万次其所谓的“利用尝试”。
一个包括OpenAI在内的联盟获得了两个月的时间来修复这些问题。OpenAI表示，发现这些缺陷的同一套AI工具也可能帮助攻击者快速制作利用程序。
该网站的运营方承诺将单独发布一篇关于托管体验的文章。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
常见问题
挑战持续了多长时间才获胜？
19.28小时，根据stealmybitcoin.com的记录，胜利于2026年10月25日UTC时间15:47取得。
奖金是多少？
0.02511679 BTC，在获胜时价值2,021.22美元，依据网站的结果页面。
什么是PHP2Shell漏洞？
两个严重性评级为9.2/10的关键漏洞，CVE-2026-109618和CVE-2026-109619，允许在未修补的服务器上执行远程代码；PHP已于2026年10月21日发布修复补丁。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Randa Moses
Randa Moses 是 Cryptopolitan 的编辑兼记者，专注于科技、人工智能、机器人技术、加密货币、诈骗及黑客攻击等领域的报道。自 2017 年以来，她一直活跃于加密货币领域，曾担任 Forward Protocol、AmaZix 和 Cryptosomniac 等公司的职务。Randa 拥有布拉德福德大学电气工程与电子工程学位。
