O site Steal My Bitcoin registrou uma vitória no desafio PHP2Shell em 25 de outubro de 2026, às 15h47 UTC, após 19,28 horas. Naquele momento, o pote era de 0,02511679 BTC, avaliado pelo site em US$ 2.021,22. Em reportagem publicada em 26 de outubro, a Tom’s Hardware identificou KillaBoi como vencedor e informou que o criador do desafio, cloudlandsdev, confirmou o resultado.
O teste local tinha um escopo específico
No relato técnico publicado por KillaBoi, o caminho até a execução de comandos envolveu envios multipartes, dados de sessão, esgotamento e exposição de memória e uma estrutura PHP forjada. A execução remota de código, ou RCE, permite que comandos sejam executados em um servidor por meio de uma falha explorada pela rede.
KillaBoi também descreveu testes locais com Alpine PHP 8.4.26, o servidor CLI integrado do PHP e quatro workers, ou processos de trabalho. Nesse ambiente, houve sete callbacks verificados em dez execuções. Esse resultado se refere à configuração específica do laboratório.
Sobre a execução no servidor do desafio, KillaBoi afirmou que os cabeçalhos completos originais da requisição e da resposta não foram capturados e que a requisição foi reconstruída depois.
A chave recuperada e o endereço do prêmio
KillaBoi relatou que a chave privada recuperada não gerava o endereço anunciado para o prêmio. O site registrou a vitória e informou o valor do pote naquele momento; a chave descrita pelo autor não correspondia ao endereço anunciado.
As falhas por trás do desafio
O desafio tinha como alvo CVE-2026-109618 e CVE-2026-109619, identificadores das falhas PHP2Shell. Para administradores que precisam identificar versões corrigidas e medidas de mitigação, a NeoTeo já publicou uma cobertura sobre as correções do PHP e as medidas para administradores.
