Steal My Bitcoin registró que el servidor de su reto PHP2Shell sufrió una intrusión el 25 de octubre de 2026, a las 15:47 UTC, tras 19,28 horas. En ese momento, el sitio indicaba un premio de 0,02511679 BTC, valorado en 2.021,22 dólares. Tom’s Hardware identificó a KillaBoi como ganador y afirmó que el creador del reto, cloudlandsdev, confirmó el resultado.
Qué describió KillaBoi sobre la intrusión
El repositorio de KillaBoi relata una cadena que incluyó cargas multipartes y manejo de sesiones, agotamiento y divulgación de memoria, y una estructura de PHP manipulada que desencadenó la ejecución de comandos. Es el relato técnico del autor sobre el ataque al servidor del reto.
KillaBoi indicó que no conservó la solicitud saliente completa ni las cabeceras originales de respuesta de la ejecución en vivo, y que reconstruyó la petición después. Para reproducir el ataque en un laboratorio local, especificó Alpine PHP 8.4.26, el servidor CLI integrado de PHP y cuatro procesos de trabajo. En diez ejecuciones de ese entorno, el repositorio contabiliza siete callbacks verificados. La cifra corresponde a esa configuración concreta.
Qué ocurrió con la dirección del premio
KillaBoi contó que la clave privada recuperada no derivaba la dirección anunciada para el premio. El sitio registró una victoria y el importe que figuraba en el bote; el autor describió por separado la discrepancia entre la clave y esa dirección.
Las vulnerabilidades detrás del reto
PHP2Shell se refiere aquí a CVE-2026-109618 y CVE-2026-109619, dos vulnerabilidades críticas de PHP. Tom’s Hardware informó de que PHP publicó correcciones para ambas el 21 de octubre de 2026. NeoTeo ya repasó las versiones corregidas y las medidas relacionadas con esos fallos.
