Güvenlik araştırmacısı, PHP2Shell açığını kullanarak ödül avı sitesini hackledi ve yaklaşık 2000 dolar değerinde Bitcoin ödülünü aldı.

BlockBeats haberine göre, 26 Ekim'de güvenlik araştırmacısı killa (GitHub kullanıcı adı KillaBoi), yakın zamanda ortaya çıkan yüksek riskli PHP güvenlik açığı PHP2Shell'i (CVE-2026-109618 ve CVE-2026-109619) başarıyla kullanarak halka açık ödül avı sitesi stealmybitcoin[.]com'u hackledi ve yaklaşık 2021 dolar değerinde Bitcoin ödülünü (0.02511679 BTC) aldı.

Bilindiği üzere, 20 Ekim'de PHP çekirdeğinde uzaktan kod yürütme güvenlik açığı ortaya çıktıktan sonra, kamuya açık güvenilir bir saldırı kodu bir türlü yayınlanmadığı için biri 24 Ekim'de bu siteyi kurdu, kasıtlı olarak yama uygulanmamış bir PHP sürümü kullandı ve hackerları güvenlik açığının gerçekten istismar edilebilir olduğunu doğrulamaya davet etmek için yaklaşık 500 dolar değerinde Bitcoin'i "ödül" olarak koydu. Ödül daha sonra bağışlar sayesinde yaklaşık 2000 dolara yükseldi. Mücadelenin başlamasından yaklaşık 19,5 saat sonra killa kullanılabilir bir saldırı kodu yazdı ve sunucudaki özel anahtarı başarıyla ele geçirdi. Site oluşturucusu sonradan mücadelenin çözüldüğünü doğruladı ve anahtarı yerleştirirken hata yaptığını belirtti, ancak saldırının başarılı olduğunu kabul etti. killa ardından GitHub'da tam PoC'yi kamuya açıkladı.