BlockBeats tin tức, ngày 26 tháng 10, nhà nghiên cứu bảo mật killa (tên người dùng GitHub KillaBoi) đã khai thác thành công lỗ hổng PHP nghiêm trọng vừa được tiết lộ PHP2Shell (CVE-2026-109618 và CVE-2026-109619), xâm nhập vào trang web treo thưởng công khai stealmybitcoin[.]com và nhận phần thưởng bitcoin trị giá khoảng 2021 USD (0,02511679 BTC).
Theo thông tin, sau khi lỗ hổng thực thi mã từ xa trong PHP được công bố vào ngày 20 tháng 10, do chưa có mã khai thác đáng tin cậy nào được công khai, một người đã tạo trang web vào ngày 24 tháng 10, cố ý sử dụng phiên bản PHP chưa vá lỗi và treo thưởng khoảng 500 USD Bitcoin như một “giải thưởng thách thức” để mời các hacker xác minh tính khả thi thực tế của lỗ hổng. Giải thưởng sau đó tăng lên khoảng 2.000 USD do quyên góp. Khoảng 19,5 giờ sau khi thách thức bắt đầu, killa đã viết thành công mã khai thác có thể sử dụng và lấy được khóa riêng trên máy chủ. Người tạo trang web sau đó xác nhận thách thức đã được giải quyết, thừa nhận việc đặt khóa riêng là sai sót, nhưng công nhận cuộc tấn công thành công. Sau đó, killa đã công bố đầy đủ PoC trên GitHub.