安全研究員利用PHP2Shell漏洞攻破懸賞網站，領走約2000美元比特幣奬金

BiRun 訊，10 月 26 日，安全研究員 killa（GitHub 用戶名 KillaBoi）成功利用近期曝光的 PHP 高危漏洞 PHP2Shell（CVE-2026-109618 與 CVE-2026-109619），攻破公開懸賞網站 stealmybitcoin[.]com，並領取價值約 2021 美元的比特幣奬金（0.02511679 BTC）。

據悉，10 月 20 日 PHP 覈心遠程代碼執行漏洞曝光後，因公開可靠攻擊代碼遲遲未出現，有人於 10 月 24 日搭建該網站，故意使用未打補丁的 PHP 版本，並掛出約 500 美元比特幣作為「懸賞奬金」，邀請黑客驗証漏洞實際可攻擊性。奬金後續因捐贈漲至約 2000 美元。挑戰開始約 19.5 小時後，killa 編寫出可用攻擊代碼，成功獲取服務器上的俬鈅。網站創建者事後確認挑戰被解決，並指出自身放置密鈅存在失誤，但承認攻擊成功。killa 隨後在 GitHub 公開了完整 PoC。