КриптоЛампа
KillaBoi получил около $2000 за эксплуатацию уязвимости PHP
Участник конкурса Steal My Bitcoin добился запуска программы на сервере с PHP 8.4.26. Извлечённый ключ оказался неверным, и организатор выплатил приз вручную.
Исследователь под псевдонимом KillaBoi победил в конкурсе Steal My Bitcoin, запустив программу print-flag на сервере с уязвимой версией PHP. Приз составлял около 0,025 BTC — примерно $2021. Организатор перевёл средства вручную, хотя извлечённый участником ключ не давал доступа к призовому адресу.
Эксперимент запустил 24 октября пользователь Hacker News cloudlandsdev. Изначально на кону было около $500 в биткоине, позднее участники увеличили приз примерно в четыре раза. Сервер работал на PHP 8.4.26 — версии, выпущенной до исправлений критических ошибок.
Успешное решение сайт зафиксировал 25 октября в 15:47 UTC — через 19 часов 17 минут после старта. Организатор уточнил, что PHP-страницу добавили на сервер лишь в 13:00 UTC того же дня. До этого сервер отдавал статический HTML, который, как отметил пользователь LiveOverflow, не задействовал уязвимый путь PHP. Таким образом, после изменения конфигурации до решения прошло менее трёх часов.
KillaBoi опубликовал описание атаки и демонстрационный код на GitHub. По его словам, он выполнил команду внутри процесса PHP и получил хранившийся на сервере ключ. Организатор заявил, что журналы подтвердили запуск print-flag, а участник знал точное значение ключа, и поэтому признал его победу.
Эксперимент был связан с уязвимостями CVE-2026-109618 и CVE-2026-109619, которые могут позволить удалённо выполнить код без аутентификации. 21 октября разработчики PHP выпустили исправления для поддерживаемых веток 8.2–8.5.
Разобраться в теме новости
Как купить биткоин за рубли и вывести BTC на кошелёк
Порядок первой покупки Bitcoin: как выбрать способ оплаты, купить часть BTC, проверить торговую пару и вывести монеты в основную сеть на личный адрес.
Открыть инструкцию ПОШАГОВО
Как оплатить Lightning-инвойс и проверить статус платежа
Что проверить в Lightning-инвойсе: получателя, сумму, срок действия и состояние оплаты. Как действовать при истёкшем запросе или неопределённом результате.
Открыть инструкцию ПОШАГОВОКак проверить статус перевода Bitcoin по TXID
Пошаговая проверка Bitcoin-перевода: где искать TXID, как читать подтверждения и что делать, если сеть видит операцию, а биржа не зачисляет BTC.
Открыть инструкцию