研究者がBitcoinハッキングチャレンジで深刻なPHPの脆弱性を悪用

オンラインでKillaとして知られる研究者は、10月25日にPublic Steal My Bitcoinチャレンジサーバー上で深刻なPHPの脆弱性を悪用し、コードを実行した。Killaは隠されたウォレットの認証情報を抽出し、Bitcoinの報酬を獲得した。チャレンジ運営者であるJames Pavurは、この侵入を確認し、サーバーログがKillaの発見を裏付けていると述べた。しかし、Pavurはサーバーに間違ったBitcoinの秘密鍵を配置していた。

このコンテストは、2026年10月21日に重要なPHP脆弱性CVE-2026-109618およびCVE-2026-109619が公表された後に開催された。研究者らは、これらの脆弱性が対象サーバーでのリモートコード実行を可能にする可能性があると指摘した。この発見により、仮想通貨セキュリティ担当者から緊急の警告が発出され、ソフトウェアの緊急アップデートが実施された。このチャレンジは、人工知能が重大なセキュリティ脆弱性の悪用を簡素化しているという主張の下で、それらの警告が実際の有効性を備えているかを公に試すものとなった。サーバーが攻撃に対して明らかに耐性を示したことから、攻撃者がこれらの脆弱性をどれほど容易に悪用できるかについて疑問が生じた。

Pavurは当初、PHPの組み込みWebサーバーを使用して通常のHTMLを提供し、脆弱な機能へのアクセスを制限していた。サイバーセキュリティ研究者は、このチャレンジの初期段階での生存が、これらの欠陥が実際に悪用可能かどうかを示すものではないと主張した。Pavurは後日、この設定問題を認めた。Pavurは、10月25日13時00分UTC頃にアクセス可能なPHPページが追加されたと述べた。成功した侵入は、それから3時間未満後の15時47分38秒UTCに発生した。

倫理的ハッカーでHacktronの共同設立者であるMohan「s1r1us」Pedhapatiは、このコンテストに関する議論が企業に脅威を軽視させる可能性があると警告した。Pedhapatiは、初期の課題が非現実的だったと主張し、大量のトラフィックがシングルスレッドのPHPサーバーを圧倒したため、攻撃が異常に困難になっていたと指摘した。Pedhapatiは、こうした状況が、最先端のAIモデルを使用する攻撃者がより有利な環境でも困難に直面するという証拠にはならないと注意を促した。また、設定が不適切で未解決の課題を脅威が誇張されているという証拠とみなすことで、誤った安心感が生まれ、パッチ適用が遅れる可能性があるとも警告した。

Killaはその後、GitHub上で攻撃の手順と別途実験室での再現を説明するプロトタイプを公開した。Killaの口座には、Bitcoinの秘密鍵を含む成功したサーバー応答が記録された。しかし、Killaは当初の試行からの一部の記録が保存されていないことを認めた。公開された証拠は、自律的なAIシステムが攻撃を完了したことを示していない。また、成功した試行においてモデルがどのように使用されたかについても、完全に文書化されていない。