一名資安研究員成功攻破一台刻意未修補的PHP伺服器，並在僅逾19小時內取得比特幣懸賞，公開檢驗近期揭露的PHP2Shell漏洞是否真如傳聞中那般危險。

懸賞在19.28小時內被領取

Stealmybitcoin.com是主辦這項挑戰的網站，已確認懸賞已被領取。其結果頁面顯示，比特幣在19.28小時後被取走，獲勝記錄時間為10月25日星期日15:47 UTC。獎金池為0.02511679 BTC，當時價值2,021.22美元。

該頁面目前寫著：「For now, there are no bitcoin on this server」（目前這台伺服器上已沒有比特幣），並補充可能會有更多挑戰推出。

獲勝者以KillaBoi為代號，在GitHub上發布了概念驗證報告。目標伺服器運行的是PHP 8.4.26。根據該報告，所取得的唯一一把私鑰並未能推導出首頁顯示的獎金地址——這項錯誤歸因於挑戰的創建者，對方已透過電子郵件承認失誤。儘管如此，該網站仍將此挑戰列為已被破解。

這場競賽透過與hacker.house公司相關的X帳號@hackerfantastic觸及更多受眾。該帳號在10月25日的貼文中說明了這項挑戰的運作方式。

獲勝時間點緊接10月21日的PHP2Shell緊急修補

這項實驗發生在PHP兩個重大漏洞引發搶修風潮的數天之後。漏洞細節在網路上外洩，促使PHP維護者提前於10月21日發布緊急修補，比原定時程提早一天，Cryptopolitan先前曾報導。

這些漏洞追蹤編號為CVE-2026-109618與CVE-2026-109619，合稱PHP2Shell，嚴重程度評分均為9.2分（滿分10分），可在未修補的伺服器上實現遠端程式碼執行。這次挑戰的結果讓這些評分有了具體的現實樣貌：即使修補程式自10月21日起即已公開提供，一台未修補的伺服器仍在一天之內淪陷。

PHP支撐著約70%具有已知伺服器端語言的網站，許多營運者為求謹慎而關閉網站。芬蘭、荷蘭與法國均暫時將政府網站下線。Cloudflare表示，在漏洞公開後的數時內，觀察到數百萬次其所稱的攻擊嘗試。這次演示以小規模、可驗證的方式，讓外界一窺促使各國採取預防性關閉的實際風險。

一個包含OpenAI在內的聯盟獲得兩個月的時間開發修補方案。OpenAI表示，發現這些漏洞的同一批AI工具，也可能協助攻擊者快速建立攻擊程式，相關內容見於Cryptopolitan對PHP2Shell揭露的報導。

stealmybitcoin.com的營運者已承諾另行撰文分享主辦這項挑戰的經驗，與KillaBoi的攻擊方視角敘述相互補充。結果頁面也指出可能會有更多挑戰推出，為進一步的公開測試留下空間。