Le site Steal My Bitcoin a enregistré une victoire dans son défi PHP2Shell le 25 octobre 2026, à 15 h 47 UTC, après 19,28 heures. La cagnotte affichée atteignait alors 0,02511679 BTC, évalués à 2 021,22 $ US. Tom’s Hardware a identifié KillaBoi comme le gagnant et rapporté que cloudlandsdev, créateur du défi, avait confirmé le résultat. Dans son dépôt technique, KillaBoi indique que la clé récupérée ne dérivait pas l’adresse annoncée pour la récompense.

Ce que KillaBoi décrit dans son dépôt

Le récit de KillaBoi décrit une chaîne d’exploitation passant par le traitement de téléversements multiparties et de données de session, puis par un épuisement et une divulgation de mémoire. Une structure PHP forgée aurait ensuite déclenché l’exécution d’une commande lors du nettoyage. Ces éléments décrivent l’attaque de ce défi, pas une procédure à appliquer à un autre serveur.

Pour ses essais locaux, KillaBoi indique avoir utilisé Alpine PHP 8.4.26, le serveur CLI intégré à PHP et quatre processus de travail. Il rapporte sept callbacks vérifiés en dix essais dans cette configuration précise. Ce résultat concerne ce laboratoire, et non un taux de réussite valable pour l’ensemble des versions et installations de PHP.

Pour l’attaque en direct, KillaBoi précise que les en-têtes complets de la requête et de la réponse HTTP d’origine n’ont pas été enregistrés. La requête a été reconstituée après l’attaque. Le résultat enregistré par le site et le détail technique publié par KillaBoi sont donc à considérer dans les limites de leurs propres descriptions.

La clé récupérée et l’adresse de la récompense

KillaBoi écrit que la clé privée récupérée ne permettait pas de dériver l’adresse Bitcoin annoncée comme récompense. Le montant affiché par le site correspond à la cagnotte au moment de la victoire; il ne constitue pas, à lui seul, une indication que KillaBoi a reçu ces bitcoins.

Le défi portait sur deux failles de PHP

PHP2Shell désigne ici les vulnérabilités CVE-2026-109618 et CVE-2026-109619. Tom’s Hardware les a décrites comme critiques et susceptibles de permettre une exécution de code à distance dans certaines conditions. Le média rapporte que les correctifs avaient été publiés le 21 octobre 2026, quatre jours avant l’enregistrement de la victoire. NeoTeo avait déjà présenté les versions corrigées et les mesures à prendre.