安全研究員利用PHP2Shell漏洞攻破懸賞網站，領走約2000美元比特幣獎金

BlockBeats 消息，10 月 26 日，安全研究員 killa（GitHub 用戶名 KillaBoi）成功利用近期曝光的 PHP 高危漏洞 PHP2Shell（CVE-2026-109618 與 CVE-2026-109619），攻破公開懸賞網站 stealmybitcoin[.]com，並領取價值約 2021 美元的比特幣獎金（0.02511679 BTC）。

據悉，10 月 20 日 PHP 核心遠程代碼執行漏洞曝光後，因公開可靠攻擊代碼遲遲未出現，有人於 10 月 24 日搭建該網站，故意使用未打補丁的 PHP 版本，並掛出約 500 美元比特幣作為「懸賞獎金」，邀請黑客驗證漏洞實際可攻擊性。獎金後續因捐贈漲至約 2000 美元。挑戰開始約 19.5 小時後，killa 編寫出可用攻擊代碼，成功獲取伺服器上的私鑰。網站創建者事後確認挑戰被解決，並指出自身放置密鑰存在失誤，但承認攻擊成功。killa 隨後在 GitHub 公開了完整 PoC。