Un ricercatore di sicurezza ha sfruttato un server PHP volutamente non patchato e si è aggiudicato un premio in Bitcoin in poco più di 19 ore, in un test pubblico per verificare se le falle PHP2Shell appena divulgate siano davvero pericolose come dichiarato.

Premio rivendicato in 19,28 ore

Stealmybitcoin.com, il sito che ha ospitato la sfida, ha verificato che il premio era stato rivendicato. La pagina dei risultati mostra che il Bitcoin è stato prelevato dopo 19,28 ore, con la vittoria registrata alle 15:47 UTC di domenica 25 ottobre. Il montepremi era di 0,02511679 BTC, del valore di 2.021,22 dollari al momento.

La pagina ora recita: "For now, there are no bitcoin on this server", aggiungendo che potrebbero seguire altre sfide.

Il vincitore, con lo pseudonimo KillaBoi, ha pubblicato un report proof-of-concept su GitHub. Il server bersaglio eseguiva PHP 8.4.26. Secondo il report, l'unica chiave privata recuperata non derivava l'indirizzo del premio mostrato nella homepage — un errore attribuito al creatore della sfida, che ha riconosciuto la svista via email. Il sito elenca comunque la sfida come vinta.

La sfida ha raggiunto un pubblico più ampio attraverso l'account @hackerfantastic su X, collegato alla società hacker.house. In un post del 25 ottobre, l'account ha spiegato come funzionava la sfida.

La vittoria segue le patch di emergenza PHP2Shell del 21 ottobre

L'esperimento è arrivato pochi giorni dopo il trambusto per due bug critici di PHP. I dettagli delle vulnerabilità erano trapelati online, spingendo i manutentori di PHP a rilasciare correzioni di emergenza il 21 ottobre, un giorno prima del previsto, come riportato in precedenza da Cryptopolitan.

Le falle, tracciate come CVE-2026-109618 e CVE-2026-109619 e complessivamente denominate PHP2Shell, hanno entrambe ricevuto un punteggio di gravità di 9,2 su 10 e consentono l'esecuzione remota di codice su server non patchati. Il risultato della sfida dà concretezza reale a quei punteggi: un server non patchato è caduto in meno di un giorno, nonostante le correzioni fossero pubblicamente disponibili dal 21 ottobre.

PHP alimenta circa il 70% dei siti web con un linguaggio server-side noto, e molti operatori hanno chiuso i propri siti per precauzione. Finlandia, Paesi Bassi e Francia hanno temporaneamente messo offline i siti governativi. Cloudflare ha dichiarato di aver rilevato milioni di quelli che ha definito tentativi di sfruttamento nelle ore successive alla divulgazione pubblica dei bug. La dimostrazione ha offerto uno sguardo su piccola e verificabile dell'esposizione che ha spinto a quegli arresti precauzionali.

Una coalizione che comprendeva OpenAI aveva ricevuto due mesi per sviluppare le correzioni. OpenAI ha dichiarato che gli stessi strumenti di IA usati per individuare le falle avrebbero potuto aiutare gli attaccanti a costruire rapidamente exploit, come trattato nel report di Cryptopolitan sulla divulgazione di PHP2Shell.

L'operatore di stealmybitcoin.com ha promesso un report separato sull'esperienza di aver ospitato la sfida, a complemento del resoconto dal lato dell'attaccante di KillaBoi. La pagina dei risultati segnala inoltre che potrebbero seguire altre sfide, lasciando aperta la porta ad ulteriori test pubblici.