事件概览

安全研究员 killa（GitHub 用户名 KillaBoi）利用 PHP 高危漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619），攻破公开悬赏网站 stealmybitcoin[.]com，取走约 2021 美元比特币奖金（0.02511679 BTC）。

关键节点

  • 10 月 20 日：PHP 核心远程代码执行漏洞曝光，公开可靠攻击代码迟迟未出现。

  • 10 月 24 日：有人搭建该悬赏网站，故意使用未打补丁的 PHP 版本，初始挂出约 500 美元比特币，后因捐赠增至约 2000 美元。

  • 约 19.5 小时后：killa 编写出可用攻击代码，成功获取服务器私钥。


后续

网站创建者确认挑战被解决，承认自身放置密钥存在失误，但认可攻击成功。killa 随后在 GitHub 公开完整 PoC。