一名安防研究员成功利用了一台故意不修补的PHP服务器,并在仅19小时多一点的时间内领取了比特币赏金,这是一次公开测试,旨在验证最近披露的PHP2Shell漏洞是否真如传闻中那样危险。

19.28小时内领取赏金

Stealmybitcoin.com是此次挑战的托管网站,已确认赏金被领取。其结果页面显示,比特币在19.28小时后被取走,领奖记录时间为10月25日星期日15:47 UTC。奖池为0.02511679 BTC,当时价值2,021.22美元。

该页面现在写着:"For now, there are no bitcoin on this server,"并补充说可能会有更多挑战。

获胜者使用代号KillaBoi,在GitHub上发布了概念验证报告。目标服务器运行的是PHP 8.4.26。根据报告,恢复的唯一一个私钥未能推导出主页上显示的奖品地址——这一错误归因于挑战的创建者,创建者已通过电子邮件承认了错误。尽管如此,该网站仍将挑战列为已获胜。

此次挑战通过X上的@hackerfantastic账号传播给了更广泛的受众,该账号与hacker.house公司有关联。在该账号10月25日的帖子中,解释了挑战的运作方式。

胜利紧随10月21日PHP2Shell紧急补丁发布

此次实验发生在两个关键PHP漏洞引发紧急应对的几天之后。漏洞细节在网络上泄露,促使PHP维护者在10月21日(比原计划提前一天)发布紧急修复,如Cryptopolitan此前报道。

这些漏洞被追踪为CVE-2026-109618和CVE-2026-109619,统称为PHP2Shell,严重程度评分均为9.2分(满分10分),可在未修补的服务器上实现远程代码执行。此次挑战的结果让这些评分有了具体的现实参照:一台未修补的服务器在不到一天内就被攻破,即便修复程序自10月21日起就已公开可用。

PHP为大约70%已知名义服务器端语言的网站提供支持,许多运营商出于预防考虑关闭了网站。芬兰、荷兰和法国都临时将政府网站下线。Cloudflare表示,在漏洞公开后的数小时内,它观察到了数百万次所谓的攻击尝试。此次演示为促使那些预防性关停的风险敞口提供了一个小规模、可验证的缩影。

一个包括OpenAI在内的联盟曾被给予两个月时间来开发修复程序。OpenAI表示,发现漏洞的同一批AI工具也可能帮助攻击者快速构建攻击代码,如Cryptopolitan关于PHP2Shell披露的报道所述。

stealmybitcoin.com的运营者已承诺单独撰写一篇关于托管此次挑战经历的文章,与KillaBoi从攻击者角度的描述相呼应。结果页面还指出可能会有更多挑战,为进一步的公开测试留下了空间。