Un chercheur en sécurité a exploité un serveur PHP intentionnellement laissé non corrigé et remporté une prime en Bitcoin en un peu plus de 19 heures, dans le cadre d'un test public visant à déterminer si les failles PHP2Shell récemment divulguées sont aussi dangereuses qu'annoncé.

Prime remportée en 19,28 heures

Stealmybitcoin.com, le site qui hébergeait le défi, a confirmé que la prime avait été réclamée. Sa page de résultats montre que le Bitcoin a été pris après 19,28 heures, la victoire ayant été enregistrée à 15h47 UTC le dimanche 25 octobre. La cagnotte s'élevait à 0,02511679 BTC, d'une valeur de 2 021,22 $ à ce moment-là.

La page indique désormais : « For now, there are no bitcoin on this server » (pour l'instant, il n'y a plus de bitcoin sur ce serveur), précisant que d'autres défis pourraient suivre.

Le vainqueur, opérant sous le pseudonyme KillaBoi, a publié une preuve de concept sur GitHub. Le serveur cible fonctionnait sous PHP 8.4.26. Selon ce document, la clé privée récupérée ne permettait pas de dériver l'adresse de la prime affichée sur la page d'accueil — une erreur attribuée au créateur du défi, qui a reconnu la faute par courriel. Le site répertorie néanmoins le défi comme remporté.

Le concours a touché un public plus large via le compte @hackerfantastic sur X, lié à la société hacker.house. Dans un post du 25 octobre, le compte expliquait le fonctionnement du défi.

Une victoire qui suit les correctifs d'urgence PHP2Shell du 21 octobre

L'expérience est survenue quelques jours après une course contre la montage autour de deux bugs critiques de PHP. Les détails des vulnérabilités ayant fuité en ligne, les mainteneurs de PHP ont publié des correctifs d'urgence le 21 octobre, un jour avant la date prévue, comme précédemment rapporté par Cryptopolitan.

Les failles, suivies sous les références CVE-2026-109618 et CVE-2026-109619 et baptisées collectivement PHP2Shell, ont chacune reçu un score de gravité de 9,2 sur 10 et permettent l'exécution de code à distance sur des serveurs non corrigés. Le résultat du défi donne une forme concrète à ces scores : un serveur non corrigé est tombé en moins d'une journée, alors même que les correctifs étaient publiquement disponibles depuis le 21 octobre.

PHP alimente environ 70 % des sites web dont le langage côté serveur est connu, et de nombreux opérateurs ont fermé leurs sites par précaution. La Finlande, les Pays-Bas et la France ont tous temporairement retiré leurs sites gouvernementaux en ligne. Cloudflare a déclaré avoir observé des millions de ce qu'il qualifie de tentatives d'exploitation dans les heures suivant la divulgation des bugs. La démonstration a offert un aperçu concret et vérifiable, à petite échelle, de l'exposition qui a motivé ces arrêts préventifs.

Une coalition incluant OpenAI avait reçu deux mois pour développer des correctifs.AI a indiqué que les mêmes outils d'IA ayant permis de découvrir les failles pourraient également aider des attaquants à concevoir rapidement des exploits, comme le couvre le rapport de Cryptopolitan sur la divulgation de PHP2Shell.

L'opérateur de stealmybitcoin.com a promis un compte rendu séparé de son expérience d'hébergement du défi, complétant le récit de l'attaquant de KillaBoi. La page de résultats indique également que d'autres défis pourraient suivre, laissant la porte ouverte à de nouveaux tests publics.