PHP2Shell: 19 óra alatt megszerezték a Bitcoin-kulcsot

Bitcoin a szerveren, nyitott célpont: mi volt a kihívás?

A „Steal My Bitcoin” története első hallásra úgy hangzik, mint egy súlyos kriptolopás: egy javítatlan PHP-szerveren Bitcoin-kulcsot hagytak, és valaki hozzájutott. A csavar az, hogy a szervert kifejezetten erre a nyilvános, engedélyezett kihívásra állították fel. A szervező arra kérte a résztvevőket, hogy a PHP2Shell néven ismert sérülékenységekkel bizonyítsák be a távoli kódfuttatást.

A verseny a PHP 2026. október 21-i biztonsági javításai után indult. Az érintett két hiba a CVE-2026-109618 és a CVE-2026-109619. A célrendszer a kihívás nyilvános dokumentációja szerint PHP 8.4.26-ot futtatott, vagyis a javított 8.4.27 előtti kiadást. Ez laborjellegű, célzottan sérülékeny környezet volt, nem egy véletlenül megtalált vállalati webshop vagy ügyfélszerver.

19 óra és egy fontos fordulat az idővonalon

A kihívás nyilvános eredménye és a megoldást közzétevő résztvevő beszámolója szerint 2026. október 25-én 15:47 UTC-kor sikerült a szerveren parancsot futtatni és egy Bitcoin-formátumú privát kulcsot kiolvasni. A teljes kihívás ekkor 19,28 órája futott. A dátum és a mérés a kihívásra vonatkozik: ebből nem lehet azt a következtetést levonni, hogy bármely éles PHP-oldalt 19 óra alatt biztosan feltörnek.

Az első órákban a kutatók vitatták, hogy a megadott webes útvonal valóban eléri-e a sebezhető PHP-folyamatot. A szervező később olyan PHP-végpontot tett elérhetővé, amelyen a kihívás ténylegesen vizsgálható volt. Ezért a „19 óra alatt feltörték” cím önmagában félrevezető lehet: a ténylegesen támadható állapot és a teljes kihívás időtartama nem ugyanaz.

Megszerezték a kulcsot, de nem az nyitotta a jutalomtárcát

A nyertes beszámolója szerint a szerverről kiolvasott kulcs szabályos Bitcoin-privátkulcs formátumú volt, de nem a meghirdetett, feltöltött címhez tartozott. A szervező ezt beállítási hibaként ismerte el. A kihívás eredményét a szerveren végrehajtott parancs és a kiolvasott titok alapján fogadta el; a Bitcoin-jutalmat az ellenőrzést követően ő utalta át.

A 0,02511679 BTC tehát a nyilvános kihívás díja volt, nem egy azonosítatlan ügyfél elveszett egyenlege. A korabeli beszámolók nagyjából 2000 dolláros értéket említenek, de a kriptoárfolyam változik, ezért itt a BTC-mennyiség a pontosabb adat. A történet ereje a hozzáférés igazolásában van, nem egy eltúlzott pénzügyi kárban.

Mit bizonyít ez a PHP2Shellről, és mit nem?

A résztvevő nyilvános technikai beszámolója az élő kihívásról származó bizonyítékokat és a saját korlátait is leírja. Erős bizonyítékot ad arra, hogy az adott PHP-build és konfiguráció mellett a PHP-folyamatban kódfuttatás történt. Az eredmény nem jelenti azt, hogy minden WordPress, WooCommerce vagy Laravel telepítés ugyanígy, ugyanennyi idő alatt feltörhető. A PHP-verzió, a webkiszolgáló útvonala, a konfiguráció és a futó folyamatok számítanak.

A Sophos október 22-i helyzetképe támadási kísérleteket és egy sikeres kihasználást is dokumentált, de az általuk vizsgált aktivitáshoz akkor nem láttak bizonyítékot zsarolóvírusra vagy adatlopásra. Ez egy adott szolgáltató akkori telemetriájának határa, nem minden későbbi incidensről szóló általános felmentés. A nyilvános kihívást külön kell kezelni a valós környezetekben észlelt támadásoktól.

Miért érdekes ez egy weboldal vagy webshop tulajdonosának?

A valódi üzleti kockázat nem csak a Bitcoin. Ha a támadó kódot futtathat a webes PHP-folyamat nevében, elérheti azokat a fájlokat, adatbázis-hozzáféréseket és alkalmazáskulcsokat, amelyekhez annak a folyamatnak joga van. Ez vezethet adatvesztéshez, szolgáltatáskieséshez, rosszindulatú módosításhoz vagy további hozzáféréshez. Hogy egy konkrét rendszeren mi történt, azt naplókkal és vizsgálattal kell megállapítani.

Megosztott tárhelyen a szolgáltatótól kérd a ténylegesen futó PHP-build és a javítás igazolását. Saját VPS-en nézd meg az összes PHP-folyamatot, konténerképet és kezelőpanelt, majd a javított csomag telepítése után indítsd újra az érintett szolgáltatásokat. A WordPress-bővítmények frissítése önmagában nem cseréli le a PHP futtatókörnyezetét.

• Azonosítsd a webes kéréseket ténylegesen kiszolgáló PHP-verziót; a parancssori `php -v` eltérhet tőle.
• Telepítsd a hivatalos vagy szolgáltató által igazolt javított kiadást, majd cseréld le a futó workerfolyamatokat.
• Vizsgáld át a releváns web-, PHP- és rendszerlogokat, valamint a váratlan fájl- és folyamatváltozásokat.
• Ha kompromittálódásra van jel, őrizd meg a bizonyítékot és külön incidenskezelést indíts.

Hogyan ellenőriztük a történetet?

A cikk 2026. október 29-i állapotot tükröz. Az esemény állításait a nyertes saját közzétett beszámolójával és a szervező nyilvánossá tett kihívásforrásával vetettük össze; a PHP sérülékenységéhez a PHP projekt közleményeit, az éles támadási aktivitás korlátaihoz a Sophos helyzetképét használtuk. A díj tényleges pénzmozgását nem saját blokkláncelemzéssel igazoltuk, ezért a szervező kifizetéséről a közzétett beszámolók alapján írunk.

Ha további igazolt incidens vagy pontosítás jelenik meg, a cikk dátummal frissíthető. A cél, hogy a figyelemfelkeltő történet mellett az olvasó külön lássa a laborban bizonyított kódfuttatást, a jutalom kifizetését és a valós ügyfélkárra vonatkozó, jelenleg nem igazolt állításokat.