研究人员攻破未修补的PHP服务器，19小时内赢得2,000美元比特币奖金

一名安全研究人员成功利用了一个故意未修补的PHP服务器，并在不到19小时内领取了其比特币赏金。

此次公开行动是一次测试，旨在验证近期PHP2Shell漏洞是否如传闻中那般危险。

Stealmybitcoin.com于10月25 15:47 UTC记录了这一胜利。

该游戏的主办网站Stealmybitcoin.com已确认赏金已被领取。其结果页面显示，比特币是在19.28小时后被取走的，胜利记录时间为10月25日星期日的15:47 UTC。

奖池总额为0.02511679 BTC，当时价值2,021.22美元。页面上写道：“目前，此服务器上已无比特币”，并补充称未来可能会有更多挑战。

获胜者KillaBoi在GitHub上发布了一篇概念验证（PoC）技术文章。目标服务器运行的是PHP 8.4.26版本。

技术总结指出，它恢复的一个私钥并未推导出主页上显示的奖金地址。这被认为是创建者的失误，已通过电子邮件得到承认，但网站仍将该挑战列为已完成。

该竞赛还通过隶属于hacker.house公司的@hackerfantastic账号被更多人知晓。该账号于10月25日发布帖子，详细解释了挑战赛的运作机制。

此次胜利紧随10月21 PHP2Shell紧急修复之后

此次实验发生在两天前PHP出现两个严重漏洞的混乱事件之后。这些漏洞的细节在网上泄露，促使PHP维护人员提前一天于10月21日发布了紧急修复补丁，正如Cryptopolitan所报道的那样。

这些漏洞被追踪为CVE-2026-109618和CVE-2026-109619，并被称为PHP2Shell，两者的严重程度评分均为9.2/10，可在未修补的服务器上实现远程代码执行。

PHP被约70%拥有已知服务器端语言的网站所使用，许多网站出于预防目的暂时关闭。芬兰、荷兰和法国均曾临时将政府网站下线。

Cloudflare表示，在漏洞公开后的数小时内，他们目睹了数百万次其所谓的“利用尝试”。

一个包括OpenAI在内的联盟获得了两个月的时间来修复这些问题。OpenAI表示，发现这些缺陷的同一套AI工具也可能帮助攻击者快速制作利用程序。

该网站的运营方承诺将单独发布一篇关于托管体验的文章。

不要只是阅读加密货币新闻，要真正理解它。订阅我们的通讯。 免费。