核心摘要
10 月 26 日，安全研究员 killa（GitHub 用户名 KillaBoi）成功利用近期曝光的 PHP 高危漏洞 PHP2Shell（CVE-2026-109618 与 CVE-2026-109619），攻破了公开悬赏网站 stealmybitcoin[.]com，并领取了价值约 2021 美元的比特币奖金（0.02511679 BTC）。这一事件标志着该漏洞在真实环境中的首次公开验证，也引发了对 PHP 安全生态的再次关注。
正文解读
此次挑战的背景源于 10 月 20 日 PHP 核心远程代码执行漏洞的曝光。由于公开可靠攻击代码迟迟未出现，有人于 10 月 24 日专门搭建了该网站，故意使用未打补丁的 PHP 版本，并挂出约 500 美元的比特币作为“悬赏奖金”，邀请黑客验证漏洞的实际可攻击性。随后奖金因捐赠涨至约 2000 美元。挑战开始约 19.5 小时后，killa 编写出可用攻击代码，成功获取服务器上的私钥，网站创建者事后确认挑战被解决，并承认自身放置密钥存在失误，但确认攻击本身成功。
要点
- 漏洞被证实可在现实环境中被利用，且从攻击代码开发到突破仅用时不到一天。
- 网站创建者故意使用易受攻击的 PHP 版本，并通过悬赏方式鼓励安全研究。
- killa 已在 GitHub 公开完整 PoC，可能加速漏洞利用工具扩散。
原创文章，作者：admin，如若转载，请注明出处：https://www.23btc.com/%e5%ae%89%e5%85%a8%e7%a0%94%e7%a9%b6%e5%91%98%e7%94%a8php2shell%e6%bc%8f%e6%b4%9e%e8%b5%a2%e8%b5%b02000%e7%be%8e%e5%85%83%e6%af%94%e7%89%b9%e5%b8%81.htm
