Strona Steal My Bitcoin odnotowała włamanie do serwera wyzwania PHP2Shell 25 października 2026 r. o 15:47 UTC, po 19,28 godziny. Wskazywała wtedy pulę 0,02511679 BTC, wycenioną na 2 021,22 USD. Tom’s Hardware podał, że zwycięzcą był KillaBoi, a twórca wyzwania, cloudlandsdev, potwierdził wynik.
Co opisał KillaBoi
W repozytorium z proof of conceptem KillaBoi opisał wykorzystanie obsługi przesyłania plików i sesji oraz błędów związanych z pamięcią, które doprowadziły do zdalnego wykonania polecenia. Nie podał jednak pełnego, oryginalnego zapisu nagłówków żądania i odpowiedzi z ataku na serwer wyzwania. Jak napisał, odtworzył żądanie później.
Repozytorium opisuje także lokalny test: Alpine PHP 8.4.26, wbudowany serwer CLI i cztery workery, czyli procesy obsługujące żądania. W tej konfiguracji autor uzyskał siedem zweryfikowanych połączeń zwrotnych w dziesięciu próbach. Wynik dotyczy tego konkretnego środowiska.
Zapis wygranej i adres nagrody
KillaBoi napisał, że odzyskany klucz prywatny nie wyprowadzał adresu wskazanego jako adres nagrody. Strona wyzwania odnotowała wynik i podała wartość puli, a techniczny opis KillaBoi wskazuje na rozbieżność między kluczem a tym adresem.
Kontekst luk PHP2Shell
Wyzwanie dotyczyło luk CVE-2026-109618 i CVE-2026-109619. Poprawki PHP opublikowano 21 października 2026 r.; wcześniejszy artykuł NeoTeo o lukach i poprawionych wersjach omawia ich znaczenie dla administratorów.
