资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
安全研究员KillaBoi利用PHP2Shell漏洞，在19小时内成功获取比特币赏金
一名化名为“KillaBoi”的安全研究人员，在一台故意未打补丁的PHP服务器上成功利用了相关漏洞，并赢得了一笔价值2,021.22美元的比特币赏金。这一壮举仅耗时略多于19小时，生动地展示了近期发现的严重PHP2Shell缺陷的实际危害。
挑战在一天内被攻克
此次攻击发生在Stealmybitcoin.com网站上，该网站旨在测试PHP2Shell安全漏洞的严重程度。网站确认了赏金的领取情况，并将获胜记录日志于10月25日UTC时间15:47。
这笔奖金由0.02511679 BTC组成，旨在奖励任何能够突破该脆弱系统的人。在成功领取后，网站显示没有剩余的比特币奖励，但暗示未来还将为安全研究人员推出新的挑战。
KillaBoi在GitHub上发布了一份概念验证（PoC）报告，详细描述了利用过程，并指出目标服务器运行的是PHP 8.4.26版本。报告中解释称，利用过程中获得的私钥与首页上公布的奖金地址并不对应，网站创建者通过电子邮件承认这是一个错误。尽管如此，该网站的悬赏记录仍归属于这位获胜者。
随着与该网络安全公司hacker.house相关的@hackerfantastic账户分享了相关信息，该竞赛的知名度进一步提升。帖子描述了竞赛的结构以及新披露漏洞所带来的潜在风险。
PHP2Shell缺陷引发全球紧急响应
此次挑战的时间点紧随两大PHP漏洞（统称为PHP2Shell）披露之后仅仅几天。在网上曝光这些漏洞的细节后，PHP开发者比原计划提前于10月21日发布了紧急安全补丁。
这两个漏洞分别被追踪为CVE-2026-109618和CVE-2026-109619，每个漏洞的严重程度评分均为10分中的9.2分，允许攻击者在受损的PHP服务器上远程执行代码。
PHP驱动着约70%使用已知服务端语言的网站后端。面对漏洞披露，包括芬兰、荷兰和法国在内的几个欧洲国家出于预防性措施，暂时将官方网站下线。
网络安全公司Cloudflare观察到，在漏洞公布后的短短几小时内，就发生了数百万次尝试利用的事件。
| 漏洞名称 | CVE ID | 严重程度评分 | 影响 |
|---|---|---|---|
| PHP2Shell Bug 1 | CVE-2026-109618 | 9.2/10 | 远程代码执行 |
| PHP2Shell Bug 2 | CVE-2026-109619 | 9.2/10 | 远程代码执行 |
一个包括OpenAI在内的联盟获得了两个月的时间来协调补丁和保护措施。著名的AI研究机构OpenAI表示，用于发现这些漏洞的相同AI技术也可能被攻击者用来自动化漏洞利用程序的开发。
微型词典：OpenAI是一家人工智能研究公司，以开发ChatGPT等先进AI系统而闻名，并通过自动化代码分析和威胁检测工具为网络安全研究做出贡献。
Stealmybitcoin.com的运营商正在准备一份单独的账户，详细说明托管此漏洞赏金挑战所涉及的技术和管理步骤。
