Hacker knackt ungepatchten PHP-Server in 19 Stunden und kassiert 2.000-Dollar-Bitcoin-Prämie
Wichtige Erkenntnisse
- •Der Forscher KillaBoi löste die Prämie von 0,02511679 BTC – zu diesem Zeitpunkt 2.021,22 US-Dollar wert – vom Challenge-Server stealmybitcoin.com in 19,28 Stunden ein; der Erfolg wurde am 25. Oktober um 15:47 UTC protokolliert.
- •Der Zielserver lief mit PHP 8.4.26, und der Gewinner veröffentlichte einen Proof-of-Concept auf GitHub; der wiederhergestellte private Schlüssel passte jedoch aufgrund eines Fehlers des Challenge-Erstellers nicht zur auf der Startseite angezeigten Preisadresse.
- •Die PHP2Shell-Schwachstellen, geführt als CVE-2026-109618 und CVE-2026-109619, tragen jeweils einen Severity-Score von 9,2 und ermöglichen Remote Code Execution auf ungepatchten Servern; Notfall-Fixes wurden am 21. Oktober veröffentlicht, nachdem Details durchgestochen waren.
- •PHP betreibt rund 70 Prozent der Websites mit bekannter serverseitiger Sprache; Finnland, die Niederlande und Frankreich nahmen Regierungswebsites vorübergehend vom Netz, während Cloudflare nach Bekanntwerden der Schwachstellen Millionen von Ausnutzungsversuchen beobachtete.
- •Eine Koalition, der auch OpenAI angehörte, hatte zwei Monate Zeit, Fixes zu entwickeln; OpenAI erklärte, dass dieselben KI-Tools, mit denen die Schwachstellen gefunden wurden, auch Angreifern beim schnellen Erstellen von Exploits helfen könnten.
Ein Sicherheitsexperte hat einen absichtlich ungepatchten PHP-Server ausgenutzt und in gut 19 Stunden eine Bitcoin-Prämie eingelöst – in einem öffentlichen Test, ob die kürzlich offengelegten PHP2Shell-Schwachstellen tatsächlich so gefährlich sind, wie behauptet.
Prämie in 19,28 Stunden eingelöst
Stealmybitcoin.com, die Website, auf der die Challenge ausgetragen wurde, bestätigte, dass die Prämie eingelöst worden sei. Die Ergebnisseite zeigt, dass der Bitcoin nach 19,28 Stunden genommen wurde; der Erfolg wurde am Sonntag, den 25. Oktober, um 15:47 UTC protokolliert. Der Preisfonds belief sich auf 0,02511679 BTC, zu diesem Zeitpunkt 2.021,22 US-Dollar wert.
Die Seite ist inzwischen zu lesen: "For now, there are no bitcoin on this server", mit dem Hinweis, dass weitere Challenges folgen könnten.
Der Gewinner unter dem Pseudonym KillaBoi veröffentlichte eine Proof-of-Concept-Dokumentation auf GitHub. Der Zielserver lief mit PHP 8.4.26. Laut der Dokumentation leitete der einzige wiederhergestellte private Schlüssel nicht die auf der Startseite angezeigte Preisadresse ab – ein Fehler, der dem Ersteller der Challenge zugeschrieben wird und der diesen per E-Mail einräumte. Die Website führt die Challenge dennoch als gewonnen.
Der Wettbewerb erreichte über das Konto @hackerfantastic auf X, das mit dem Unternehmen hacker.house verbunden ist, ein breiteres Publikum. In einem Beitrag vom 25. Oktober erklärte das Konto, wie die Challenge funktionierte.
Erfolg folgt auf Notfall-Patches für PHP2Shell am 21. Oktober
Das Experiment kam wenige Tage nach dem Tempo um zwei kritische PHP-Sicherheitslücken. Details zu den Schwachstellen waren online durchgestochen, was die PHP-Maintainer veranlasste, Notfall-Fixes am 21. Oktober – einen Tag früher als geplant – zu veröffentlichen, wie zuvor von Cryptopolitan berichtet.
Die Schwachstellen, geführt als CVE-2026-109618 und CVE-2026-109619 und zusammen als PHP2Shell bezeichnet, erhielten jeweils einen Severity-Score von 9,2 von 10 und ermöglichen Remote Code Execution auf ungepatchten Servern. Das Ergebnis Challenge verleiht diesen Scores eine konkrete reale Gestalt: Ein ungepatchter Server fiel in weniger als einem Tag, obwohl die Fixes seit dem 21. Oktober öffentlich verfügbar waren.
PHP betreibt rund 70 % der Websites mit bekannter serverseitiger Sprache, und viele Betreiber schalteten ihre Seiten vorsorglich ab. Finnland, die Niederlande und Frankreich nahmen Regierungswebsites vorübergehend vom Netz. Cloudflare meldete Millionen von sogenannten Ausnutzungsversuchen in den Stunden nach der Veröffentlichung der Schwachstellen. Die Demonstration bot einen kleinen, überprüfbaren Einblick in die Gefährdung, die zu diesen vorsorglichen Abschaltungen führte.
Eine Koalition, der auch OpenAI angehörte, hatte zwei Monate Zeit, Fixes zu entwickeln. OpenAI erklärte, dass dieselben KI-Tools, die die Schwachstellen fanden, auch Angreifern helfen könnten, schnell Exploits zu erstellen, wie in Cryptopolitans Bericht zur PHP2Shell-Offenlegung beschrieben.
Der Betreiber von stealmybitcoin.com hat eine eigene Dokumentation zu den Erfahrungen mit der Austragung der Challenge in Aussicht gestellt, die KillaBois Bericht aus Angreifersicht ergänzt. Die Ergebnisseite weist auch darauf hin, dass weitere Challenges folgen könnten – die Tür für weitere öffentliche Tests bleibt offen.
