Een securityonderzoeker heeft een opzettelijk ongepatchte PHP-server geëxploiteerd en in ruim 19 uur een Bitcoin-bounty geclaimd, in een openbare test of de onlangs onthulde PHP2Shell-kwetsbaarheden wel zo gevaarlijk zijn als wordt beweerd.

Bounty geclaimd in 19,28 uur

Stealmybitcoin.com, de site die de challenge hostte, bevestigde dat de bounty was geclaimd. De resultatenpagina toont dat de Bitcoin na 19,28 uur was opgepakt, waarbij de winst werd geregistreerd op 15:47 UTC op zondag 25 oktober. De prijzenpot stond op 0,02511679 BTC, destijds ter waarde van $2.021,22.

Op de pagina staat nu: "For now, there are no bitcoin on this server", met de toevoeging dat er mogelijk meer challenges volgen.

De winnaar, actief onder de naam KillaBoi, publiceerde een proof-of-concept write-up op GitHub. De doelserver draaide PHP 8.4.26. Volgens de write-up leidde de enige gerecupereerde privésleutel niet tot het prijxadres dat op de homepage werd getoond — een fout die werd toegeschreven aan de maker van de challenge, die de vergissing per e-mail toegaf. De site vermeldt de challenge desondanks als gewonnen.

De challenge bereikte een breder publiek via het @hackerfantastic-account op X, dat verbonden is aan het bedrijf hacker.house. In een bericht van 25 oktober legde het account uit hoe de challenge werkte.

Winst volgt op noodpatches voor PHP2Shell op 21 oktober

Het experiment kwam enkele dagen na de rumoer rond twee kritieke PHP-bugs. Details van de kwetsbaarheden lekten online, waardoor de beheerders van PHP op 21 oktober noodfixes uitbrachten, een dag eerder dan gepland, zoals eerder gemeld door Cryptopolitan.

De kwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619 en gezamenlijk PHP2Shell genoemd, kregen elk een ernstscore van 9,2 uit 10 en maken externe code-uitvoering op ongepatchte servers mogelijk. Het resultaat van de challenge geeft die scores een concrete vorm in de praktijk: een ongepatchte server viel in minder dan een dag, zelfs terwijl de fixes sinds 21 oktober publiek beschikbaar waren.

PHP drijft ongeveer 70% van de websites met een bekende servertalen, en veel beheerders schakelden hun sites preventief uit. Finland, Nederland en Frankrijk haalden overheidswebsites tijdelijk offline. Cloudflare meldde miljoenen zogenaamde exploitatiepogingen in de uren nadat de bugs openbaar waren gemaakt. De demonstratie bood een kleinschalige, verifieerbare blik op de blootstelling die aanleiding gaf tot die preventieve afsluitingen.

Een coalitie waaronder OpenAI kreeg twee maanden om fixes te ontwikkelen. OpenAI zei dat dezelfde AI-tools die de kwetsbaarheden vonden, aanvallers ook kunnen helpen snel exploits te bouwen, zoals behandeld in Cryptopolitans rapport over de openbaarmaking van PHP2Shell.

De beheerder van stealmybitcoin.com heeft een aparte write-up beloofd over de ervaring van het hosten van de challenge, als aanvulling op het verslag van KillaBoi vanuit het aanvallersperspectief. De resultatenpagina merkt ook op dat er mogelijk meer challenges volgen, waardoor de deur openstaat voor verdere openbare tests.