Исследователь безопасности взломал намеренно непропатченный сервер PHP и получил награду в биткоинах чуть более чем за 19 часов в рамках публичного теста того, насколько опасны недавно раскрытые уязвимости PHP2Shell на самом деле.

Награда получена за 19,28 часа

Stealmybitcoin.com, сайт, на котором проходил состязание, подтвердил получение награды. На странице результатов указано, что биткоины были получены через 19,28 часа, победа зафиксирована в 15:47 UTC в воскресенье, 25 октября. Призовой фонд составил 0,02511679 BTC — $2 021,22 на тот момент.

Сейчас на странице написано: "Пока на этом сервере нет биткоинов", с добавлением, что впереди могут быть новые испытания.

Победитель под ником KillaBoi опубликовал описание proof-of-concept на GitHub. На целевом сервере работал PHP 8.4.26. Согласно описанию, единственный восстановленный приватный ключ не соответствовал адресу приза, показанному на главной странице, — ошибка создателя состязания, признавшего её по электронной почте. Тем не менее сайт по-прежнему отмечает состязание как выигранное.

О состязании узнала более широкая аудитория благодаря аккаунту @hackerfantastic в X, связанному с компанией hacker.house. В посте от 25 октября аккаунт объяснил, как устроено состязание.

Победа последовала за экстренными исправлениями PHP2Shell 21 октября

Эксперимент прошёл через несколько дней после спешки вокруг двух критических уязвимостей PHP. Детали уязвимостей утекли в сеть, из-за чего разработчики PHP выпустили экстренные исправления 21 октября, на день раньше запланированного срока, как ранее сообщал Cryptopolitan.

Уязвимости, отслеживаемые как CVE-2026-109618 и CVE-2026-109619 и совместно названные PHP2Shell, каждая получили оценку опасности 9,2 из 10 и позволяют удалённое выполнение кода на непропатченных серверах. Результат состязания придаёт этим оценкам конкретное практическое значение: непропатченный сервер пал менее чем за сутки, хотя исправления были публично доступны с 21 октября.

PHP используется примерно на 70% сайтов с известным серверным языком, и многие владельцы в качестве меры предосторожности отключили свои сайты. Финляндия, Нидерланды и Франция временно отключили правительственные сайты. Cloudflare сообщила о миллионах, по её словам, попыток эксплуатации в часы после раскрытия об уязвимостях. Демонстрация дала небольшое, но проверяемое представление о рисках, побудивших к этим мерам предосторожности.

Коалиции, в состав которой входила OpenAI, было дано два месяца на разработку исправлений. OpenAI заявила, что те же ИИ-инструменты, которые нашли уязвимости, могут также помочь атакующим быстро создавать эксплойты, о чём говорится в отчёте Cryptopolitan о раскрытии PHP2Shell.

Оператор stealmybitcoin.com пообещал отдельно описать опыт проведения состязания, что дополнит рассказ KillaBoi со стороны атакующего. На странице результатов также отмечается, что впереди могут быть новые испытания, что оставляет дверь открытой для дальнейших публичных тестов.