Лид

На Hacker News появился необычный проект: разработчик под ником запустил сайт stealmybitcoin.com и предложил всем желающим взломать его PHP-сервер и забрать спрятанный там Bitcoin-ключ стоимостью около $500. Автор прямо написал: «Сделал это, потому что хочу понять — есть ли кто-то, кто реально научился использовать PHP RCE, из-за которого мы последние дни паниковали». Речь идёт о свежих критических уязвимостях PHP2Shell, патч для которых вышел всего несколько дней назад.

Что за челлендж

На сервере спрятан Bitcoin-ключ стоимостью около $500 — это PHP security challenge: найди скрытый ключ, и первый, кто получит доступ к кошельку, забирает всё.

Ключ доступен через системный бинарник print-flag от имени PHP-пользователя, а версия PHP на сервере выбрана специально — до выхода патчей PHP2Shell.

ℹ Адрес кошелька
Публичный адрес челленджа: bc1qlnu5...t3cxqy — его можно отследить в блокчейн-эксплорере в реальном времени. Если кошелёк опустеет — значит, кто-то справился.

Автор добавил: если деньги вам не нужны — рассмотрите возможность пожертвовать их на givewell.org.

Контекст: что такое PHP2Shell

PHP2Shell — это пара критических уязвимостей (CVE-2026-109618 и CVE-2026-109619) в PHP версий 5.4–8.5, позволяющих удалённо выполнить произвольный код (RCE — Remote Code Execution), потенциально давая злоумышленнику полный контроль над веб-сервером.

Обе уязвимости получили оценку 9.2 по шкале CVSS v4.0 — это критический уровень опасности.

Экстренные патчи PHP выпустил 21 октября 2026 года. При этом детали уязвимостей были раскрыты досрочно — информация утекла до запланированной даты публичного раскрытия 22 октября.

Как работают уязвимости

CVEНазваниеМеханизм
CVE-2026-109618RCE via OOM corruptionОшибка при нехватке памяти во время обработки запроса
CVE-2026-109619RCE via stale global stateUse-after-free через механизм отслеживания прогресса загрузки файлов

CVE-2026-109618 связана с обработчиком нехватки памяти: PHP может прервать запрос, когда внутренние структуры данных инициализированы лишь частично, и завершение запроса затем работает с повреждёнными данными как с валидными.

CVE-2026-109619 эксплуатирует callback сессионного прогресса загрузки, который срабатывает на любом POST-эндпоинте ещё до выполнения кода приложения. Тело эксплойта занимает всего около 450 байт — WAF-правила, основанные на размере запроса, не помогут.

⚠ Уже эксплуатируется
Эксплуатация PHP2Shell в реальных атаках зафиксирована с 21 октября 2026 года — сразу после выхода патча. Обновите PHP до версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35 как можно скорее.

Как устроен эксперимент


graph TD
    A[Автор публикует челлендж на HN] --> B[Сервер с уязвимой версией PHP]
    B --> C{Участник находит эксплойт?}
    C -- Да --> D[Выполняет print-flag бинарник]
    D --> E[Получает Bitcoin-ключ ~$500]
    C -- Нет --> F[Счётчик часов без взлома растёт]
    F --> B

Смысл эксперимента прост: несмотря на волну паники вокруг PHP2Shell, автор хочет проверить — готов ли кто-то реально применить эксплойт «в бою», когда на кону реальные деньги.

«Показательно, что несмотря на панику вокруг нового PHP RCE, никто не ломится на серверы за $500» — типичный комментарий в треде Hacker News.

Сообщество восприняло челлендж как остроумный low-stakes эксперимент, демонстрирующий, что несмотря на панику из-за PHP RCE, никто на самом деле не атакует серверы ради $500. Часть пользователей, впрочем, считает, что приз слишком мал, чтобы привлечь того, у кого действительно есть рабочий эксплойт.

Значение для отрасли

Подобные публичные челленджи — не просто развлечение. Они позволяют community быстро оценить реальную опасность уязвимости: если никто не берёт деньги, лежащие «под замком» из свежего CVE — значит, либо эксплойт сложнее, чем кажется, либо готовые инструменты ещё не попали в широкие руки.

💡 Для администраторов PHP-серверов
Даже если вы не участвуете в челлендже — уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют неаутентифицированному пользователю выполнить код на сервере. Патч уже доступен — не откладывайте обновление.
📝 Похожие эксперименты
Практика «укради мой Bitcoin» не новая: подобные конкурсы дают сообществу пространство для совместной работы и дружеского соревнования при проверке различных аспектов безопасности. В разные годы подобные челленджи запускались для проверки BIP38-шифрования и защиты кошельков.

Следить за статусом кошелька можно в реальном времени на stealmybitcoin.com. Счётчик «часов без успешного взлома» продолжает идти.