比特币赏金：一名黑客攻破运行 PHP 的未修补服务器，并成功领走漏洞赏金

一名黑客成功入侵了一台存在漏洞的服务器，并利用 PHP2Shell 漏洞领取了价值 2,021.22 美元的比特币赏金。Steal My Bitcoin 网站的一篇帖子证实了这一结果。该挑战的创建者于 10 月 25 日确认获胜，结束了这项旨在验证“利用关键软件漏洞变得越来越容易”这一说法的实验。

该挑战于前一天在网站上发布，并通过一个论坛帖子进行了宣传，最初提供了价值约 502 美元的比特币。随后，捐赠使总奖金池增加至 0.02511679 BTC，按获胜时的汇率计算价值 2,021.22 美元。挑战者创建者的网站记录显示，在挑战持续约 19.28 小时后，成功领取操作于 10 月 25 日 UTC 时间 15:47 完成。

这项实验发生在 CVE-2026-109618 和 CVE-2026-109619 两个关键 PHP 漏洞披露之后。在特定条件下，这两个漏洞允许远程代码执行。这两个缺陷被评为严重级别，补丁已于 10 月 21 日发布。然而，将这些漏洞转化为可靠的攻击手段，并不仅仅是在任意服务器上运行公开可用的利用程序那么简单。

以“cloudlandsdev”名义发布该挑战的创建者曾表示，该项目的目的是观察是否有人能利用这些漏洞攻破服务器并领取其比特币。“我创建这个是因为我好奇是否有人真的大纲出如何使用这个 PHP RCE（远程代码执行）漏洞，我们花了好几天时间都在恐慌中度过。祝玩得开心！”创建者写道。

PHP2Shell 指的是 PHP 在请求处理与内存管理过程中存在的两个漏洞。在存在漏洞的配置下，攻击者可能会利用这些缺陷，以 Web 服务器账户的特权执行代码。

这场实验迅速引来大量关注，但随之而来的流量也成了问题。创建者在更新中表示，每次提升服务器配置后不久，访客就会耗尽服务器的全部计算资源。存储空间有限也让服务器无法保留所有日志，想记录一次成功的攻击变得相当困难。

获胜者 ‘KillaBoi’ 在 GitHub 上发布了概念验证代码，描述了针对线上挑战的攻击过程，并提供了本地测试环境。该漏洞利用了 PHP 处理 multipart 上传和 session 数据的方式：攻击者把 PHP worker 推到内存上限，使其内部状态陷入不一致，后续请求就会通过 session cookie 泄露内存内容，从而暴露 PHP 内存结构和可执行代码的位置。