あるセキュリティ研究者が、意図的にパッチ未適用のまま公開されたPHPサーバーを攻略し、19時間強でビットコイン賞金を獲得しました。これは、最近公開されたPHP2Shell脆弱性が宣伝されているほど危険なのかを検証する公開テストでした。

19.28時間で賞金が獲得される

チャレンジを主催した Stealmybitcoin.com は、賞金が獲得されたことを確認しました。同サイトの結果ページによると、ビットコインは19.28時間後に取得され、その獲得は10月25日(日)15:47 UTCに記録されました。賞金総額は0.02511679 BTCで、当時の価値は2,021.22ドルでした。

同ページには現在「For now, there are no bitcoin on this server(現時点で、このサーバーにはビットコインはない)」と記載されており、今後さらなるチャレンジが行われる可能性に言及しています。

優勝したのはKillaBoiというハンドルネームの研究者で、GitHubにコンセプト実証の解説を公開しました。標的サーバーはPHP 8.4.26で稼働していました。解説によると、回収された単一の秘密鍵は、ホームページに表示されていた賞金アドレスを導出しないものでした。これはチャレンジ作成者のミスによるもので、作成者はメールでこの誤りを認めたといいます。それでも同サイトはチャレンジを「獲得済み」として表示しています。

このコンテストは、企業hacker.houseに関連するXの@hackerfantasticアカウントを通じて、より多くの人々の目に留まりました。同アカウントは10月25日の投稿で、チャレンジの仕組みを説明しました。

獲得は10月21日のPHP2Shell緊急パッチ後に

この実験は、PHPの2つの重大なバグをめぐる騒動の数日後に行われました。脆弱性の詳細がオンラインに漏洩したことを受け、PHPのメンテナーは予定より1日早い10月21日に緊急修正をリリースしました(Cryptopolitanが報道)。

CVE-2026-109618およびCVE-2026-109619として追跡され、総称してPHP2Shellと呼ばれるこれらの脆弱性は、いずれも深刻度9.2/10の評価を受け、パッチ未適用のサーバーでのリモートコード実行を可能にします。今回のチャレンジの結果は、これらのスコアに具体的な現実の姿を与えるものであり、10月21日から修正が公開されていたにもかかわらず、未パッチのサーバーが1日足らずで陥落したことを示しました。

PHPは、サーバーサイド言語が判明しているウェブサイトの約70%で使用されており、多くの運営者が予防措置としてサイトを閉鎖しました。フィンランド、オランダ、フランスは政府ウェブサイトを一時的にオフラインにしました。Cloudflareは、バグが公表された後の数時間で、同社が「悪用試行」と呼ぶ数百万件のアクセスを観測したと発表しました。この実証実験は、こうした予防的閉鎖を引き起こした露出の実態を、小規模ながら検証可能な形で示すものとなりました。

OpenAIを含む連合には、修正開発のために2か月が与えられていました。OpenAIは、脆弱性を発見したのと同じAIツールが、攻撃者がエクスプロイトを迅速に構築するのにも役立つ可能性があると述べています(CryptopolitanのPHP2Shell公開に関する報道)。

stealmybitcoin.comの運営者は、チャレンジを主催した経験について別の解説記事を執筆することを約束しており、KillaBoiの攻撃者視点からの説明を補完するものとなる見込みです。結果ページには今後さらなるチャレンジが行われる可能性が記載されており、さらなる公開テストへの扉が開かれています。