Хакер взломал сервер с уязвимостями PHP и забрал биткоин-награду

Организованный исследователями конкурс PHP2Shell привлек внимание сообщества возможностью получить криптовалюту за взлом уязвимого сервера. Подобные инициативы призваны проверить на практике, насколько легко злоумышленникам использовать критические бреши в популярном программном обеспечении после их публичного раскрытия.

Запуск состязания под названием PHP2Shell challenge состоялся после публикации сведений о критических уязвимостях в PHP, позволяющих выполнять произвольный код. В данном материале рассматриваются детали этого эксперимента, ход взлома и реакция ИТ-сообщества.

Суть эксперимента PHP2Shell и условия конкурса

Инициатором состязания выступил разработчик под псевдонимом cloudlandsdev. Целью проекта было выяснить, способен ли кто-либо применить на практике недавно обнаруженные уязвимости для компрометации целевого узла. Первоначально на кону стояла сумма, эквивалентная пятистам долларам США в биткоинах, однако благодаря сторонним пожертвованиям общий призовой фонд вырос до 0,02511679 BTC.

Эксперимент стартовал на специальном ресурсе и привлек широкое внимание специалистов по кибербезопасности. Заявленной целью организатора было тестирование утверждений о том, что современные уязвимости легко эксплуатируются в реальных условиях. Вскоре после запуска на сервер обрушился мощный поток трафика, который периодически исчерпывал доступные вычислительные ресурсы и мешал сохранению детальных системных журналов.

Детали успешной атаки и действия победителя

Спустя примерно девятнадцать часов после начала состязания участник под ником KillaBoi успешно скомпрометировал уязвимую систему и забрал призовой фонд. Позднее победитель опубликовал на платформе GitHub детальный отчет и описание локальной тестовой среды.

Атака строилась на специфической обработке многокомпонентных запросов и сеансовых данных в PHP. Нагружая рабочий процесс PHP до достижения предельных значений памяти, злоумышленник добивался непоследовательного состояния внутреннего состояния системы. Последующие запросы раскрывали содержимое памяти через файлы cookie, что позволяло определить точное расположение исполняемого кода и структур данных.

Используя полученные адреса памяти, автор эксплойта сформировал поддельную структуру данных PHP. Это привело к выполнению команд на этапе очистки памяти, что и зафиксировала система мониторинга. Несмотря на успешный взлом целевого сервера, дальнейшее движение средств по цепочке блоков показало перевод криптовалюты на адрес, помеченный как холодный кошелек биржи Kraken.

Контекст обнаружения уязвимостей и смежные инциденты

Данный инцидент развернулся на фоне общего давления на ИТ-отделы, которым потребовалось срочно обновлять серверные конфигурации. Ранее были раскрыты две критические уязвимости (CVE-2026-109618 и CVE-2026-109619), способные при определенных условиях приводить к удаленному выполнению кода. Официальные исправления были выпущены незадолго до начала хакерского состязания.

Параллельно в сфере информационной безопасности обсуждались и другие случаи восстановления или перехвата цифровых активов. В частности, исследователи нередко применяют реверс-инжиниринг старого программного обеспечения для помощи владельцам, забывшим пароли от криптокошельков. Прошедший конкурс показал, что реальная эксплуатация свежих серверных брешей требует высокой квалификации, но при этом остается выполнимой задачей для подготовленных исследователей.