КриптоЛампа
Исследователь усомнился в доступности уязвимостей на конкурсе Steal My Bitcoin
На сайте Steal My Bitcoin предлагают 2 000 долларов в биткойнах за взлом PHP-приложения. Исследователь предположил, что разрешённая точка входа может не запускать уязвимый скрипт.
Сайт Steal My Bitcoin предлагает участникам получить 2 000 долларов в биткойнах, обнаружив приватный ключ кошелька через уязвимую PHP-установку. По состоянию на 25 октября 2026 года кошелёк оставался нетронутым более 17 часов. Вознаграждение выросло примерно с 500 долларов благодаря пожертвованиям и составляет около 0,025 BTC.
Правила разрешают атаки только на веб-приложение и PHP-контейнер. Запрещены атаки на хост, саботаж инфраструктуры и перегрузка сервера; активность участников регистрируется.
В конкурсе используется PHP 8.4.26, уязвимая к двум ошибкам, известным под общим названием PHP2Shell: CVE-2026-109618 и CVE-2026-109619. Они связаны с управлением памятью и потенциально могут привести к удалённому выполнению кода; обе имеют оценку серьёзности 9,2. Экстренные исправления выпустили 21 октября.
Исследователь, изучивший ответы сервера и сопоставивший их с локальными тестами, предположил, что nginx может направлять запросы к встроенному серверу PHP. По его версии, запрос к главной странице выдаёт статический index.html, а не выполняет index.php. Если это верно, уязвимости могут быть недоступны через разрешённую область атаки конкурса.
Автор анализа признал, что его выводы могут быть ошибочными: одних отпечатков HTTP-ответов недостаточно, чтобы установить архитектуру сервера или доказать невозможность эксплуатации. Гипотеза остаётся непроверенной. Уязвимости PHP существуют, и администраторам уязвимых систем необходимо установить исправления.
Разобраться в теме новости
Как проверить статус перевода Bitcoin по TXID
Пошаговая проверка Bitcoin-перевода: где искать TXID, как читать подтверждения и что делать, если сеть видит операцию, а биржа не зачисляет BTC.
Открыть инструкцию ОБЪЯСНЯЕМ
Как защитить криптокошелёк: ключи, подписи и переводы
Практический разбор защиты кошелька: фраза восстановления, аппаратные устройства, разрешения приложений и проверка адреса перед переводом.
Читать разбор ОБЪЯСНЯЕМЧто такое биткоин и как работает сеть Bitcoin
Чем Bitcoin отличается от банковского счёта, как подтверждаются переводы и почему новости о цене не описывают всю работу сети.
Читать разбор