Badacz bezpieczeństwa wykorzystał celowo niezałataną serwerę PHP i odebrał nagrodę w bitcoinie w nieco ponad 19 godzin, w ramach publicznego testu, czy niedawno ujawnione podatności PHP2Shell są tak groźne, jak się o nich mówi.

Nagroda odebrana w 19,28 godziny

Stealmybitcoin.com, serwis, na którym zorganizowano wyzwanie, potwierdził, że nagroda została odebrana. Strona z wynikami pokazuje, że bitcoin został przejęty po 19,28 godziny, a wygrana została zarejestrowana o 15:47 UTC w niedzielę, 25 października. Pula nagród wynosiła 0,02511679 BTC, co wówczas odpowiadało 2 021,22 dolara.

Strona informuje obecnie: "For now, there are no bitcoin on this server", dodając, że mogą pojawić się kolejne wyzwania.

Zwycięzca, działający pod pseudonimem KillaBoi, opublikował opis koncepcyjny (proof-of-concept) na GitHubie. Serwer docelowy działał na PHP 8.4.26. Zgodnie z opisem odzyskany klucz prywatny nie odpowiadał adresowi nagrody wyświetlanemu na stronie głównej — błąd ten przypisano twórcy wyzwania, który przyznał się do pomyłki w wiadomości e-mail. Mimo to serwis nadal wskazuje wyzwanie jako wygrane.

Wyzwanie dotarło do szerszej publiczności za pośrednictwem konta @hackerfantastic na X, powiązanego z firmą hacker.house. W poście z 25 października konto wyjaśniło, jak działało wyzwanie.

Wygrana nastąpiła po awaryjnych poprawkach PHP2Shell z 21 października

Eksperyment miał miejsce kilka dni po pośpiechu związanym z dwoma krytycznymi błędami w PHP. Szczegóły podatności wyciekły do internetu, co skłoniło opiekunów PHP do wydania awaryjnych poprawek 21 października, dzień wcześniej niż planowano, jak [wcześniej informował Cryptopolitan](https://www.cryptopolitan.com/php-fix-14-year-bug-day-early-leak/n
Podatności, oznaczone jako CVE-2026-109618 i CVE-2026-109619 i zbiorczo nazwane PHP2Shell, otrzymały każdą ocenę 9,2 na 10 i umożliwiają zdalne wykonanie kodu na niezałatanych serwerach. Wynik wyzwania nadaje tym ocenom konkretny, rzeczywisty wymiar: niezałatana serwera padła w mniej niż dobę, mimo że poprawki są publicznie dostępne od 21 października.

PHP obsługuje około 70% stron internetowych z znanym językiem po stronie serwera, a wielu operatorów wyłączyło swoje strony ostrożnościowo. Finlandia, Holandia i Francja tymczasowo wyłączyły swoje strony rządowe. Cloudflare poinformował, że w godzinach po ujawnieniu błędów zaobserwował miliony prób eksploatacji. Demonstracja dała niewielki, ale weryfikowalny wgląd w ryzyko, które skłoniło do tych zapobiegawczych wyłączeń.

Koalicji, w skład której wchodziło OpenAI, dano dwa miesiące na opracowanie poprawek. OpenAI stwierdziło, że te same narzędzia AI, które znalazły podatności, mogą również pomóc atakującym szybko tworzyć exploity, jak opisano w raporcie Cryptopolitan o ujawnieniu PHP2Shell.

Operator serwisu stealmybitcoin.com zapowiedział osobny opis doświadczeń związanych z organizacją wyzwania, uzupełniający relację KillaBoi z perspektywy atakującego. Strona z wynikami informuje również, że mogą pojawić się kolejne wyzwania, pozostawiając otwarte drzwi do dalszych publicznych testów.