Пентестер за 19 часов взломал тестовый сервер и забрал 2000 долларов в BTC

Исследователь безопасности Джеймс Павур 24 октября запустил в сети сервер с заведомо не исправленными уязвимостями PHP2Shell и биткоин-кошельком внутри. Условие было простое: кто первым получит доступ к машине, забирает деньги. Проект назвали «Steal My Bitcoin».

Через 19 часов 28 минут, 25 октября в 15:47 по UTC, в кошелёк зашёл 26-летний разработчик и пентестер из Великобритании Джайдип Модхвадия, известный под псевдонимом Killa. По его словам, реальная работа заняла около трёх часов. Точка входа PHP, нужная для эксплойта, появилась на сервере около 13:00 UTC того же дня — то есть до взлома прошло меньше трёх часов.

Эксплойт Модхвадии состоит из одного Python-скрипта и не более двадцати HTTP-запросов. Код обходит защиту ASLR, которая случайным образом распределяет адреса памяти программы и усложняет атаки. Скрипт опубликован на GitHub.

Призовой фонд, изначально составлявший 500 долларов за выходные, вырос до 2000 — сообщество скидывалось добровольно. При курсе биткоина около 80 500 долларов на 28 октября это соответствует примерно 0,025 BTC. Модхвадия объявил, что направит часть выигрыша в Lupus Foundation — фонд, который борется с волчанкой, аутоиммунным заболеванием, которым он сам болеет.

Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619 и затрагивают все версии PHP начиная с 5.4. По данным Censys, на момент выхода экстренных патчей 21 октября насчитывалось 2,58 млн уязвимых хостов и 54,9 млн веб-сайтов на PHP. Патчи вышли в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, но на момент публикации материала, по оценке Censys, оставалось 32,51 млн уязвимых сервисов PHP.

CISA внесла обе уязвимости в каталог активно эксплуатируемых угроз 26 октября с оценкой критичности 9,2 из 10 и дала федеральным агентствам США срок до 29 октября на устранение. Первые случаи эксплуатации в реальных условиях зафиксировали на honeypot-серверах уже 24 октября, в день запуска проекта.