Steal My Bitcoin registreerde op 25 oktober 2026 om 15.47 UTC een overwinning op de PHP2Shell-challengeserver, na 19,28 uur. De site vermeldde toen een pot van 0,02511679 BTC, gewaardeerd op $ 2.021,22. Tom’s Hardware noemde KillaBoi als winnaar en meldde dat challenge-maker cloudlandsdev de uitslag had bevestigd.
Wat KillaBoi over de aanval beschrijft
De challenge draaide om CVE-2026-109618 en CVE-2026-109619. PHP had op 21 oktober fixes voor beide uitgebracht, waarover NeoTeo eerder schreef in een overzicht van de twee kritieke PHP-kwetsbaarheden.
In zijn proof of concept beschrijft KillaBoi hoe multipart-uploads en sessiegegevens, geheugenproblemen en het uitlezen van gegevens samen leidden tot het uitvoeren van een commando. Het gaat om zijn technische verslag van deze challenge, niet om een algemeen recept voor PHP-servers.
De auteur rapporteert zeven geverifieerde callbacks in tien tests van een lokaal systeem met Alpine PHP 8.4.26, de ingebouwde CLI-server en vier workers. Dat resultaat hoort bij die specifieke opstelling. Voor de aanval op de live-server schrijft KillaBoi dat de volledige oorspronkelijke aanvraag en antwoordheaders niet zijn vastgelegd en dat hij de aanvraag achteraf reconstrueerde.
Wat gebeurde er met de bitcoinprijs?
De geregistreerde overwinning en het bedrag op de challengesite vertellen niet dat KillaBoi de bitcoin ontving. KillaBoi schrijft dat de teruggevonden private key niet het geadverteerde prijsadres opleverde. De serverinbraak gaat over toegang tot de challengeserver; de sleutelkwestie betreft het afzonderlijke prijsadres.
De lokale test van zeven uit tien callbacks beschrijft dus één PHP-configuratie, terwijl de uitslag van 25 oktober betrekking heeft op de specifieke challengeserver.
