КриптоЛампа
Исследователь усомнился в доступности уязвимостей на конкурсе Steal My Bitcoin
На сайте Steal My Bitcoin предлагают 2 000 долларов в биткойнах за взлом PHP-приложения. Исследователь предположил, что разрешённая точка входа может не запускать уязвимый скрипт.
Сайт Steal My Bitcoin предлагает участникам получить 2 000 долларов в биткойнах, обнаружив приватный ключ кошелька через уязвимую PHP-установку. По состоянию на 25 октября 2026 года кошелёк оставался нетронутым более 17 часов. Вознаграждение выросло примерно с 500 долларов благодаря пожертвованиям и составляет около 0,025 BTC.
Правила разрешают атаки только на веб-приложение и PHP-контейнер. Запрещены атаки на хост, саботаж инфраструктуры и перегрузка сервера; активность участников регистрируется.
В конкурсе используется PHP 8.4.26, уязвимая к двум ошибкам, известным под общим названием PHP2Shell: CVE-2026-109618 и CVE-2026-109619. Они связаны с управлением памятью и потенциально могут привести к удалённому выполнению кода; обе имеют оценку серьёзности 9,2. Экстренные исправления выпустили 21 октября.
Исследователь, изучивший ответы сервера и сопоставивший их с локальными тестами, предположил, что nginx может направлять запросы к встроенному серверу PHP. По его версии, запрос к главной странице выдаёт статический index.html, а не выполняет index.php. Если это верно, уязвимости могут быть недоступны через разрешённую область атаки конкурса.
Автор анализа признал, что его выводы могут быть ошибочными: одних отпечатков HTTP-ответов недостаточно, чтобы установить архитектуру сервера или доказать невозможность эксплуатации. Гипотеза остаётся непроверенной. Уязвимости PHP существуют, и администраторам уязвимых систем необходимо установить исправления.
Разобраться в теме новости
Как купить биткоин за рубли и вывести BTC на кошелёк
Порядок первой покупки Bitcoin: как выбрать способ оплаты, купить часть BTC, проверить торговую пару и вывести монеты в основную сеть на личный адрес.
Открыть инструкцию ПОШАГОВО
Как оплатить Lightning-инвойс и проверить статус платежа
Что проверить в Lightning-инвойсе: получателя, сумму, срок действия и состояние оплаты. Как действовать при истёкшем запросе или неопределённом результате.
Открыть инструкцию ПОШАГОВОКак проверить статус перевода Bitcoin по TXID
Пошаговая проверка Bitcoin-перевода: где искать TXID, как читать подтверждения и что делать, если сеть видит операцию, а биржа не зачисляет BTC.
Открыть инструкцию