2026-10-26 10:36:26
黑客于 10 月 25 日利用 PHP2Shell 漏洞后,领取了价值 2,021.22 美元的比特币奖金
据 Tom's Hardware 报道,一名使用“KillaBoi”这一别名的黑客于 10 月 25 日成功攻入一台存在漏洞的 PHP 服务器,并声称赢得了价值 0.02511679 BTC(2,021.22 美元)的奖励。这项在 Steal My Bitcoin 网站上举办的挑战旨在检验利用 CVE-2026-109618 和 CVE-2026-109619 这两个严重 PHP 漏洞的可行性。攻击者利用了 PHP 处理 multipart 上传和会话数据的机制,迫使 PHP 工作进程突破内存限制,并通过会话 Cookie 泄露内部内存内容,随后构造伪造的 PHP 数据结构来触发命令执行。此次成功入侵发生在挑战启动约 19 小时后,表明利用这些 PHP 漏洞可能比此前认为的更容易。