Die Website Steal My Bitcoin verzeichnete am 25. Oktober 2026 um 15:47 UTC den erfolgreichen Angriff auf ihren PHP2Shell-Challenge-Server. Der Eintrag nennt eine Laufzeit von 19,28 Stunden und einen Preispot von 0,02511679 BTC, der damals mit 2.021,22 US-Dollar bewertet wurde. Tom’s Hardware nennt KillaBoi als Gewinner und berichtet, dass Challenge-Ersteller cloudlandsdev den Erfolg bestätigte.
Was KillaBoi über den Angriff berichtet
KillaBoi beschreibt eine Angriffskette mit Multipart-Uploads und Sitzungsdaten, Speichererschöpfung und der Offenlegung von Speicherinhalten. Eine manipulierte PHP-Datenstruktur habe schließlich die Ausführung von Befehlen ausgelöst.
Seinen lokalen Test ordnet KillaBoi einer konkreten Konfiguration zu: Alpine PHP 8.4.26, der integrierte CLI-Server und vier Worker, also Prozesse zur Bearbeitung von Anfragen. In zehn Durchläufen dieser Umgebung meldet das Repository sieben verifizierte Callbacks. Das Ergebnis gilt für diesen Aufbau, nicht als Erfolgsquote für PHP-Server allgemein.
Für den Live-Lauf rekonstruierte KillaBoi den HTTP-Request nachträglich. Seine technische Darstellung dieses Laufs beruht damit auf einer Rekonstruktion.
Was der Eintrag zum Bitcoin-Preis sagt
KillaBoi schreibt, der wiederhergestellte private Schlüssel habe nicht die auf der Challenge-Seite angegebene Preisadresse abgeleitet. Die Website verzeichnete den Sieg und den damaligen Pot; KillaBoi beschreibt den Schlüssel als nicht passend zur angekündigten Adresse.
Die Schwachstellen hinter PHP2Shell
Die Challenge bezog sich auf CVE-2026-109618 und CVE-2026-109619. Für beide Schwachstellen wurden am 21. Oktober 2026 Korrekturen veröffentlicht. NeoTeo hatte die betroffenen PHP-Versionen und Sicherheitsmaßnahmen bereits eingeordnet.
