Un investigador de seguridad explotó un servidor PHP sin parches intencionalmente y reclamó la recompensa en Bitcoin en poco más de 19 horas, en una prueba pública de si las fallas PHP2Shell recién divulgadas son tan peligrosas como se ha dicho.

Recompensa reclamada en 19.28 horas

Stealmybitcoin.com, el sitio que albergó el desafío, verificó que la recompensa había sido reclamada. Su página de resultados muestra que el Bitcoin fue tomado tras 19.28 horas, con la victoria registrada a las 15:47 UTC del domingo 25 de octubre. El pozo del premio era de 0.02511679 BTC, valorado en $2,021.22 en ese momento.

La página ahora dice: "Por ahora, no hay bitcoin en este servidor", y añade que podrían seguir más desafíos.

El ganador, bajo el alias KillaBoi, publicó un informe de prueba de concepto en GitHub. El servidor objetivo ejecutaba PHP 8.4.26. Según el informe, la única clave privada recuperada no derivaba la dirección del premio mostrada en la página principal, un error atribuido al creador del desafío, quien reconoció el equivocación por correo electrónico. Aun así, el sitio lista el desafío como ganado.

El concurso llegó a una audiencia más amplia a través de la cuenta @hackerfantastic en X, vinculada a la empresa hacker.house. En una publicación del 25 de octubre, la cuenta explicó cómo funcionaba el desafío.

La victoria sigue a los parches de emergencia de PHP2Shell del 21 de octubre

El experimento se produjo días después de una carrera contrarreloj por dos fallas críticas en PHP. Los detalles de las vulnerabilidades se filtraron en línea, lo que llevó a los mantenedores de PHP a publicar correcciones de emergencia el 21 de octubre, un día antes de lo previsto, como informó previamente Cryptopolitan.

Las fallas, rastreadas como CVE-2026-109618 y CVE-2026-109619 y denominadas en conjunto PHP2Shell, recibieron cada una una puntuación de severidad de 9.2 sobre 10 y permiten la ejecución remota de código en servidores sin parches. El resultado del desafío da a esas puntuaciones una forma concreta en el mundo real: un servidor sin parches cayó en menos de un día incluso con correcciones disponibles públicamente desde el 21 de octubre.

PHP impulsa aproximadamente el 70% de los sitios web con un lenguaje del lado del servidor conocido, y muchos operadores cerraron sus sitios como precaución. Finlandia, Países Bajos y Francia desconectaron temporalmente sus sitios web gubernamentales. Cloudflare dijo haber observado millones de lo que llamó intentos de explotación en las horas posteriores a que las fallas se hicieran públicas. La demostración ofreció un vistazo a pequeña escala y verificable de la exposición que motivó esos cierres preventivos.

Una coalición que incluía a OpenAI tuvo dos meses para desarrollar correcciones. OpenAI dijo que las mismas herramientas de IA que encontraron las fallas también podrían ayudar a los atacantes a construir exploits rápidamente, como se cubrió en el informe de Cryptopolitan sobre la divulgación de PHP2Shell.

El operador de stealmybitcoin.com ha prometido un informe aparte sobre la experiencia de albergar el desafío, complementando el relato del atacante de KillaBoi. La página de resultados también señala que podrían seguir más desafíos, dejando la puerta abierta a nuevas pruebas públicas.