Hacker chiếm server dễ tổn thương qua lỗ hổng PHP2Shell, nhận 0.02511679 BTC (≈ $2,021.22)

Tóm tắt nhanh

• Một hacker tự gọi là ‘KillaBoi’ đã khai thác lỗ hổng PHP2Shell để chiếm quyền server thử nghiệm và tuyên bố nhận phần thưởng 0.02511679 BTC, trị giá $2,021.22 tại thời điểm chiến thắng.
• Thử thách trên trang Steal My Bitcoin do ‘cloudlandsdev’ dựng lên khởi chạy ngày 24/10 và người tạo xác nhận kết quả vào 25/10 sau ~19.28 giờ hoạt động.
• Ban đầu tiền thưởng khoảng $502 bằng Bitcoin, sau đó được cộng thêm quyên góp lên tổng 0.02511679 BTC khi kẻ thắng nhận giải.
• Vụ khai thác tận dụng hai lỗ hổng được đặt tên PHP2Shell (CVE-2026-109618 và CVE-2026-109619) trong xử lý request và quản lý bộ nhớ của PHP.
• Các bản vá cho hai CVE này được phát hành ngày 21/10, nhưng tác giả thử thách muốn kiểm tra liệu ai đó có thể biến khai thác công khai thành cuộc tấn công thực tế hay không.
• Kẻ tấn công công bố proof-of-concept trên GitHub, mô tả khai thác multipart upload và session để làm quá tải worker PHP, lộ nội dung bộ nhớ qua cookie session rồi dựng cấu trúc PHP giả mạo để thực thi lệnh.
• Yêu cầu cuối cùng trả về bằng chứng lệnh đã chạy trong tiến trình PHP, nhưng khóa riêng thu được không khớp với địa chỉ thưởng được quảng bá ban đầu.
• Dữ liệu on-chain cho thấy số tiền sau đó được gửi tới địa chỉ bắt đầu bằng bc1qr4…lk7a9, được gán nhãn là ví lạnh Kraken.
• Người tạo thử thách cho biết lưu lượng truy cập lớn làm cạn kiệt tài nguyên server và storage giới hạn khiến không lưu trữ đầy đủ log, gây khó khăn trong việc ghi nhận nỗ lực thành công.
• Bài viết đặt vụ này vào bối cảnh các nỗ lực phục hồi Bitcoin khác, nêu các trường hợp năm 2024 và 2026 khi các nhà nghiên cứu phục hồi nhiều BTC bằng reverse-engineering phần mềm hoặc phần cứng.

Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.