Дослідник, відомий у мережі як Killa, використав критичний вразливість PHP 25 жовтня, щоб виконати код на публічному сервері виклику Steal My Bitcoin. Killa отримав прихований обліковий запис гаманця й отримав бонус у біткойнах. Оператор виклику Джеймс Павур підтвердив порушення й сказав, що журнали сервера підтверджують відкриття Killa. Однак Павур розмістив на сервері неправильний приватний ключ біткойна.
Конкурс відбувся після розкриття 21 жовтня критичних вразливостей PHP CVE-2026-109618 та CVE-2026-109619. Дослідники зазначили, що ці вразливості можуть дозволити виконання віддаленого коду на вразливих серверах. Ці відкриття спричинили термінові попередження від експертів з безпеки криптовалют та аварійні оновлення програмного забезпечення. Виклик перетворився на публічне тестування цих попереджень на тлі стверджень, що штучний інтелект спрощує експлуатацію серйозних проблем безпеки. Очевидна стійкість сервера до атак спричинила сумніви щодо того, наскільки легко зловмисники можуть експлуатувати ці вразливості.
Павур спочатку використовував вбудований веб-сервер PHP для надання звичайних HTML-сторінок, обмежуючи доступ до вразливої функціональності. Дослідники кібербезпеки стверджували, що початкове виживання виклику мало мало загальних даних про те, чи можна експлуатувати ці недоліки. Пізніше Павур визнав проблему з конфігурацією. Павур сказав, що доступна сторінка PHP була додана близько 13:00 за UTC 25 жовтня. Успішне вторгнення відбулося о 15:47:38 за UTC, менше ніж через три години.
Етичний хакер та співзасновник Hacktron Mohan «s1r1us» Pedhapati попередив, що обговорення конкурсу може надихнути бізнеси на недооцінку загрози. Pedhapati стверджував, що ранній виклик був нереалістичним, оскільки великий трафік переповнив однопотоковий PHP-сервер, що робило експлуатацію незвично складною. Pedhapati попередив, що ці умови не демонструють, що атакувачі, що використовують передові моделі ШІ, матимуть труднощі в більш сприятливих умовах. Pedhapati також попередив, що вважання погано налаштованого, нерозв’язаного виклику доказом перебільшеної загрози може створити хибну впевненість і відкласти застосування патчів.
Killa пізніше опублікував доказ концепції на GitHub, що описує кроки експлуатації та окреме лабораторне відтворення. Акаунт Killa зафіксував успішну відповідь сервера, яка містила приватний ключ bitcoin. Однак Killa визнав, що деякі записи з початкової спроби не були збережені. Опубліковані докази не підтверджують, що аутономна штучна інтелектуальна система виконала атаку. Докази також не повністю документують, як моделі використовувалися під час успішної спроби.
Дослідник використав критичний вразливість PHP у виклику хакерства bitcoin
CryptoSlateПоділитися
Короткий зміст
Новини про bitcoin: Дослідник, відомий як Killa, використав критичний вразливість PHP 25 жовтня, щоб виконати код на публічному сервері виклику Steal My Bitcoin, отримавши доступ до прихованого облікових даних гаманця та отримавши біткойн-приз. Оператор виклику Джеймс Павур підтвердив порушення, але зазначив, що на сервері зберігався неправильний приватний ключ bitcoin. Цей інцидент відбувся після розголошення 21 жовтня вразливостей PHP CVE-2026-109618 та CVE-2026-109619, які можуть дозволити виконання віддаленого коду. Killa опублікував доказ концепції на GitHub, але немає жодних доказів, чи була використана штучна інтелектуальна система під час атаки.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.