باحث معروف عبر الإنترنت باسم Killa استغل ثغرة PHP حرجة في 25 أكتوبر لتنفيذ كود على خادم تحدي Steal My Bitcoin العام. استخرج Killa بيانات اعتماد محفظة مخفية وفاز بجائزة بيتكوين. تأكّد مُنظّم التحدي جيمس بافور من الاختراق وقال إن سجلات الخادم دعمت نتائج Killa. ومع ذلك، كان بافور قد وضع مفتاحًا خاصًا لبيتكوين خاطئًا على الخادم.
تبع المنافسة الكشف عن ثغرات PHP الحرجة CVE-2026-109618 وCVE-2026-109619 في 21 أكتوبر. وقال الباحثون إن هذه الثغرات يمكن أن تمكن من تنفيذ كود عن بُعد على الخوادم المتأثرة. وأثارت هذه الاكتشافات تحذيرات عاجلة من قادة أمن العملات المشفرة وتحديثات طارئة للبرمجيات. وأصبح التحدي اختبارًا عامًا لهذه التحذيرات وسط مزاعم بأن الذكاء الاصطناعي يبسط استغلال الثغرات الأمنية الخطيرة. وشجع مقاومة الخادم الظاهرة للهجمات على الشكوك حول مدى سهولة استغلال المهاجمين لهذه الثغرات.
استخدم بافور في الأصل خادم الويب المدمج في PHP لتقديم HTML عادي، مع تقييد الوصول إلى الوظائف المعرضة للخطر. جادل باحثو الأمن السيبراني أن بقاء التحدي في البداية لم يكشف شيئًا عن إمكانية استغلال الثغرات. وأقر بافور لاحقًا بمشكلة التكوين. وقال بافور إن صفحة PHP قابلة للوصول تم إضافتها حوالي الساعة 13:00 بالتوقيت العالمي الموحد في 25 أكتوبر. وحدث الاختراق الناجح في 15:47:38 بالتوقيت العالمي الموحد، أي بعد أقل من ثلاث ساعات.
حذّر قراصنة الأخلاقي ومؤسس شركة Hacktron، موهان "s1r1us" بيداباتي، من أن مناقشة المسابقة قد تشجع الشركات على التقليل من التهديد. ورأى بيداباتي أن التحدي المبكر كان غير واقعي لأن حركة المرور الكثيفة أرهقت خادم PHP أحادي الخيط، مما جعل الاستغلال صعبًا بشكل غير عادي. وحذر بيداباتي من أن هذه الظروف لا تُظهر أن المهاجمين الذين يستخدمون نماذج الذكاء الاصطناعي المتقدمة سيواجهون صعوبات في ظروف أكثر ملاءمة. كما حذر بيداباتي من أن اعتبار تحدي غير مُهيأ جيدًا وغير محلول دليلاً على تضخيم التهديد قد يخلق ثقة زائفة ويؤخر عملية التصحيح.
نشر كيلا لاحقًا دليلاً تجريبيًا على GitHub يصف خطوات الاستغلال وإعادة إنتاج منفصلة في المختبر. سجّل حساب كيلا استجابة خادم ناجحة شملت مفتاحًا خاصًا لبيتكوين. ومع ذلك، اعترف كيلا بأن بعض السجلات من المحاولة الأصلية لم تُحفظ. لا يُظهر الدليل المنشور أن نظامًا ذكيًا آليًا أكمل الهجوم. كما لا يوثّق الدليل بالكامل كيفية استخدام النماذج في المحاولة الناجحة.
باحث يستغل ثغرة PHP الحرجة في تحدي قرصنة البيتكوين
CryptoSlateمشاركة
ملخص
أخبار عاجلة عن البيتكوين: استغل باحث معروف باسم Killa ثغرة PHP حرجة في 25 أكتوبر لتنفيذ كود على خادم تحدي "Steal My Bitcoin" العام، واستخرج بيانات محفظة مخفية ومطالبة بمكافأة بيتكوين. تأكّد مُنظّم التحدي، جيمس بافور، من الاختراق، لكنه أشار إلى أن الخادم يحتوي على مفتاح خاص بيتكوين خاطئ. وجاء هذا الحادث بعد الكشف عن ثغرات PHP CVE-2026-109618 وCVE-2026-109619 في 21 أكتوبر، والتي يمكن أن تسمح بتنفيذ كود عن بُعد. نشر Killa دليلاً تجريبيًا على GitHub، لكن لا توجد أدلة تؤكد ما إذا كان قد تم استخدام نظام ذكاء اصطناعي في الهجوم.
المصدر:عرض النسخة الأصلية
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة قد حصلت عليها من أطراف ثالثة ولا تعكس بالضرورة وجهات نظر أو آراء KuCoin. يُقدّم هذا المحتوى لأغراض إعلامية عامة فقط ، دون أي تمثيل أو ضمان من أي نوع ، ولا يجوز تفسيره على أنه مشورة مالية أو استثمارية. لن تكون KuCoin مسؤولة عن أي أخطاء أو سهو ، أو عن أي نتائج ناتجة عن استخدام هذه المعلومات.
يمكن أن تكون الاستثمارات في الأصول الرقمية محفوفة بالمخاطر. يرجى تقييم مخاطر المنتج بعناية وتحملك للمخاطر بناء على ظروفك المالية الخاصة. لمزيد من المعلومات، يرجى الرجوع إلى شروط الاستخدام واخلاء المسؤولية.