КриптоЛампа
KillaBoi получил около $2000 за эксплуатацию уязвимости PHP
Участник конкурса Steal My Bitcoin добился запуска программы на сервере с PHP 8.4.26. Извлечённый ключ оказался неверным, и организатор выплатил приз вручную.
Исследователь под псевдонимом KillaBoi победил в конкурсе Steal My Bitcoin, запустив программу print-flag на сервере с уязвимой версией PHP. Приз составлял около 0,025 BTC — примерно $2021. Организатор перевёл средства вручную, хотя извлечённый участником ключ не давал доступа к призовому адресу.
Эксперимент запустил 24 октября пользователь Hacker News cloudlandsdev. Изначально на кону было около $500 в биткоине, позднее участники увеличили приз примерно в четыре раза. Сервер работал на PHP 8.4.26 — версии, выпущенной до исправлений критических ошибок.
Успешное решение сайт зафиксировал 25 октября в 15:47 UTC — через 19 часов 17 минут после старта. Организатор уточнил, что PHP-страницу добавили на сервер лишь в 13:00 UTC того же дня. До этого сервер отдавал статический HTML, который, как отметил пользователь LiveOverflow, не задействовал уязвимый путь PHP. Таким образом, после изменения конфигурации до решения прошло менее трёх часов.
KillaBoi опубликовал описание атаки и демонстрационный код на GitHub. По его словам, он выполнил команду внутри процесса PHP и получил хранившийся на сервере ключ. Организатор заявил, что журналы подтвердили запуск print-flag, а участник знал точное значение ключа, и поэтому признал его победу.
Эксперимент был связан с уязвимостями CVE-2026-109618 и CVE-2026-109619, которые могут позволить удалённо выполнить код без аутентификации. 21 октября разработчики PHP выпустили исправления для поддерживаемых веток 8.2–8.5.
Разобраться в теме новости
Как проверить статус перевода Bitcoin по TXID
Пошаговая проверка Bitcoin-перевода: где искать TXID, как читать подтверждения и что делать, если сеть видит операцию, а биржа не зачисляет BTC.
Открыть инструкцию ОБЪЯСНЯЕМ
Как защитить криптокошелёк: ключи, подписи и переводы
Практический разбор защиты кошелька: фраза восстановления, аппаратные устройства, разрешения приложений и проверка адреса перед переводом.
Читать разбор ОБЪЯСНЯЕМЧто такое биткоин и как работает сеть Bitcoin
Чем Bitcoin отличается от банковского счёта, как подтверждаются переводы и почему новости о цене не описывают всю работу сети.
Читать разбор