بلوکبیٹس کی خبر، 26 اکتوبر، سیکیورٹی ریسرچر کلّا (گٹہب صارف KillaBoi) نے حالیہ طور پر سامنے آنے والے PHP کے خطرناک خامی PHP2Shell (CVE-2026-109618 اور CVE-2026-109619) کا استعمال کرتے ہوئے عوامی بونس ویب سائٹ stealmybitcoin[.]com پر حملہ کیا اور تقریباً 2021 امریکی ڈالر کی قیمت کا بٹ کوائن انعام (0.02511679 BTC) حاصل کیا۔
یہ بتایا گیا ہے کہ 20 اکتوبر کو PHP کور ریموٹ کوڈ ایکزیکشن کے خلل کے افشا کے بعد، جب تک کوئی قابل اعتماد حملہ کا کوڈ شائع نہیں ہوا، اس لیے 24 اکتوبر کو ایک ویب سائٹ بنائی گئی، جس میں بے پچ کی گئی PHP ورژن استعمال کی گئی اور تقریباً 500 امریکی ڈالر کا بٹ کوائن "انعام" رکھا گیا تاکہ ہیکرز کو خلل کی عملی حملہ کرنے کی صلاحیت کی تصدیق کے لیے دعوت دی جائے۔ بعد میں برادری کے تحائف کے ساتھ انعام بڑھا کر تقریباً 2000 امریکی ڈالر کر دیا گیا۔ چیلنج شروع ہونے کے تقریباً 19.5 گھنٹے بعد، killa نے ایک قابل استعمال حملہ کا کوڈ ترتیب دے دیا اور سرور پر موجود پرائیوٹ کلید حاصل کر لی۔ ویب سائٹ کے قائم کنندہ نے بعد میں تصدیق کی کہ چیلنج حل ہو گیا ہے، اور اپنے ذریعہ کلید رکھنے میں غلطی کو تسلیم کرتے ہوئے حملہ کامیاب ثابت ہوا۔ killa نے بعد میں اپنا مکمل PoC GitHub پر شائع کر دیا۔