Il sito Steal My Bitcoin ha registrato una vittoria nella sfida PHP2Shell il 25 ottobre 2026 alle 15:47 UTC, dopo 19,28 ore. In quel momento indicava un montepremi di 0,02511679 BTC, valutato 2.021,22 dollari. Tom’s Hardware ha identificato KillaBoi come vincitore e ha riferito che il creatore della sfida, cloudlandsdev, ne ha confermato l’esito.
Il resoconto tecnico riguarda una configurazione precisa
KillaBoi descrive un percorso che ha coinvolto caricamenti multipart, dati di sessione, esaurimento e divulgazione della memoria e una struttura PHP contraffatta, usata per attivare l’esecuzione di comandi. Nel suo laboratorio locale, con Alpine PHP 8.4.26, il server CLI integrato e quattro processi worker, riferisce sette callback verificati in dieci tentativi.
Per l’esecuzione sul server della sfida, KillaBoi riferisce che gli header completi originali della richiesta e della risposta non furono acquisiti e che la richiesta fu ricostruita in seguito.
La chiave recuperata non generava l’indirizzo del premio
KillaBoi afferma che la chiave privata recuperata durante l’attacco non generava l’indirizzo Bitcoin indicato per il premio. Il sito registra la vittoria e mostra il valore del montepremi; il resoconto tecnico dell’autore segnala questa discrepanza tra la chiave e l’indirizzo.
La sfida riguardava CVE-2026-109618 e CVE-2026-109619. Tom’s Hardware ha riferito che le correzioni per le due vulnerabilità PHP erano state rilasciate il 21 ottobre 2026. Per il contesto sugli aggiornamenti, NeoTeo aveva già ricostruito le versioni corrette e le misure disponibili.
