นักวิจัยด้านความปลอดภัยใช้ช่องโหว่ PHP2Shell เจาะเว็บไซต์รับรางวัลและรับเงินรางวัลบิตคอยน์ประมาณ 2,000 ดอลลาร์

ข่าว BlockBeats วันที่ 26 ตุลาคม นักวิจัยด้านความปลอดภัย killa (ชื่อผู้ใช้ GitHub KillaBoi) ประสบความสำเร็จในการใช้ประโยชน์จากช่องโหว่ระดับสูงของ PHP ที่เพิ่งเปิดเผยเมื่อเร็วๆ นี้ PHP2Shell (CVE-2026-109618 และ CVE-2026-109619) เจาะระบบเว็บไซต์ประกาศรางวัลสาธารณะ stealmybitcoin[.]com และรับเงินรางวัลบิตคอยน์มูลค่าประมาณ 2,021 ดอลลาร์ (0.02511679 BTC)

เป็นที่ทราบกันว่า หลังจากช่องโหว่การรันโค้ดระยะไกลในแกนหลักของ PHP ถูกเปิดเผยเมื่อวันที่ 20 ตุลาคม เนื่องจากโค้ดโจมตีที่เชื่อถือได้และเปิดเผยต่อสาธารณะยังไม่ปรากฏขึ้น จึงมีผู้สร้างเว็บไซต์นี้ขึ้นเมื่อวันที่ 24 ตุลาคม โดยจงใจใช้ PHP เวอร์ชันที่ยังไม่ได้แพตช์ และติดประกาศเงินรางวัลบิตคอยน์ประมาณ 500 ดอลลาร์เป็น "เงินรางวัล" เชิญชวนแฮกเกอร์มาทดสอบว่าช่องโหว่สามารถโจมตีได้จริงหรือไม่ เงินรางวัลต่อมาเพิ่มขึ้นเป็นประมาณ 2,000 ดอลลาร์จากการบริจาค หลังจากเริ่มการท้าทายประมาณ 19.5 ชั่วโมง killa ได้เขียนโค้ดโจมตีที่ใช้งานได้ และเข้าถึงคีย์ส่วนตัวบนเซิร์ฟเวอร์ได้สำเร็จ ผู้สร้างเว็บไซต์ยืนยันในภายหลังว่าการท้าทายได้รับการแก้ไขแล้ว และชี้ให้เห็นว่าตนเองมีความผิดพลาดในการวางคีย์ แต่ยอมรับว่าการโจมตีสำเร็จ ต่อมา killa ได้เปิดเผย PoC ฉบับสมบูรณ์บน GitHub