Un server-momeală cu 2.000 de dolari în bitcoin a căzut în 19 ore prin PHP2Shell

Un server care rula o copie neactualizată de PHP, lăsat online cu o cheie de portofel bitcoin drept momeală, n-a rezistat nici măcar o zi. Un cercetător care folosește pseudonimul KillaBoi a pătruns prin PHP2Shell, perechea de vulnerabilități critice din limbajul aflat la baza celei mai mari părți a webului, și a extras cheia. În același weekend, o capcană informatică administrată de responsabilul cu securitatea de la Perplexity a înregistrat un atacator făcând același lucru pe un server real — infirmând teoria liniștitoare potrivit căreia aceste vulnerabilități erau prea greu de exploatat.

Este o veste importantă pentru oricine administrează un site și pentru oricine are date stocate pe unul. PHP stă la baza WordPress, Drupal, Joomla și a majorității serviciilor de găzduire partajată, iar aceste vulnerabilități îi pot permite unei persoane fără cont să execute comenzi pe server. De la apariția remedierilor, principalul argument pentru a amâna actualizarea a fost că tentativele de atac făcute publice eșuaseră în continuare. Ambele rezultate demontează acest argument.

Provocarea, numită Steal My Bitcoin, a fost publicată pe propriul site și anunțată într-o postare pe un forum. Creatorul ei, care a publicat sub numele cloudlandsdev, a scris: „Am făcut asta fiindcă sunt curios dacă cineva a reușit să găsească o metodă de a exploata efectiv acest RCE din PHP; noi am petrecut ultimele zile în panică. Distracție plăcută!” Fondul a pornit de la aproximativ 502 de dolari și a crescut datorită donațiilor până la 0,02511679 BTC, în valoare de 2.021,22 de dolari în momentul în care a fost revendicat, la aproximativ 19 ore de la lansare, potrivit Tom’s Hardware. Serverul a cedat sub traficul celor care încercau să-l atace, iar spațiul de stocare limitat nu i-a permis să păstreze toate jurnalele.

KillaBoi a publicat apoi pe GitHub o dovadă de concept. Mark Maunder, fondatorul companiei de securitate WordPress Wordfence, a numit explicația „cea mai bună prezentare pe care o veți vedea despre cât de greu este de exploatat #php2shell”, subliniind câtă muncă precisă presupunea atacul. Greu, după cum s-a dovedit, nu însemna și lent.

Rezultatul mai îngrijorător a venit din afara provocării. Adel Karimi, responsabil de detecție și răspuns la Perplexity, a declarat că honeypoturile sale au surprins o execuție de cod la distanță confirmată pe un server Apache care rula PHP 8.4.26. „Avem acum confirmarea unei execuții de cod la distanță, cu divulgare de memorie utilizabilă, nu doar o blocare urmată de un proces suspect”, a scris el, potrivit BleepingComputer. Marcus Hutchins, cercetător în amenințări la Expel, care urmărea relatările despre atacuri reușite, a numit-o „de departe cea mai solidă confirmare de până acum a exploatării php2shell în lumea reală”. Până atunci, Cloudflare, watchTowr, Patchstack și alte firme de securitate înregistraseră doar tentative eșuate, iar echipa de informații despre amenințări a Amazon observase începerea scanărilor cu patru zile înainte de publicarea patch-urilor.

Niciunul dintre rezultate nu înseamnă că toate serverele neactualizate vor fi compromise mâine. Cheia recuperată de KillaBoi nu corespundea adresei portofelului promovată de site; organizatorul a numit situația o eroare de configurare și a spus că fondurile vor fi transferate, potrivit Cointelegraph, iar site-ul de securitate Cyberpress observă că dovezile publice arată recuperarea unei chei, nu furtul premiului. Exploitul publicat este, de asemenea, adaptat unei anumite versiuni PHP și nu funcționează cu alte versiuni ale aceleiași ediții, deci nu este un instrument de folosit cu un singur clic. Ceea ce nu mai poate fi susținut este că nimeni n-a reușit să-l facă să funcționeze.

Riscul este global. Agenții guvernamentale din Țările de Jos, Australia, Japonia și Finlanda au scos din funcțiune site-uri esențiale în timp ce pregăteau patch-urile, a relatat Cointelegraph. O numărătoare Shodan realizată de firma de securitate Mallory a identificat aproximativ 884.000 de gazde accesibile de pe internet care afișau o versiune PHP pentru care nu mai există remedieri oficiale — 59% din cele aproximativ 1,5 milioane care dezvăluie o astfel de versiune, potrivit Notebookcheck. Acestea sunt numărători bazate pe bannere, nu victime confirmate, deoarece distribuțiile Linux aplică adesea patch-uri pachetelor vechi fără să schimbe numărul versiunii.

Pentru proprietarii de site-uri, soluția rămâne aceeași. Versiunile remediate sunt PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35, publicate pe 21 octombrie pentru CVE-2026-109618 și CVE-2026-109619, ambele evaluate cu 9,2 din 10. În cazul găzduirii partajate, actualizarea ține de furnizorul de hosting, nu de o actualizare WordPress sau a unui modul, așa că întrebarea utilă pentru furnizor este ce versiune PHP rulează site-ul și când a fost aplicat patch-ul. Agenția americană pentru securitate cibernetică CISA le-a recomandat organizațiilor care nu pot face actualizarea sau care folosesc încă PHP 8.1 ori o versiune mai veche să scoată aceste sisteme din funcțiune până când vor putea face acest lucru.

Următoarea problemă este deja în atenție. Vineri, echipa PHP a publicat o soluție temporară pentru o a treia vulnerabilitate de execuție de cod la distanță, CVE-2026-115560, pentru care nu există încă un patch și care afectează doar sistemele „cu o combinație neobișnuită de configurare și cod al aplicației”. Până la publicarea unei remedieri, dezvoltatorii PHP recomandă dezactivarea opțiunii session.upload_progress, aceeași măsură recomandată și înainte de apariția patch-urilor PHP2Shell. Suportul de securitate pentru PHP 8.2 se încheie la 31 decembrie 2026, iar serverele care nu au trecut niciodată de la versiunea 8.1 au depășit deja termenul.

Etichete: știri, securitate cibernetică, bitcoin, Perplexity, PHP, PHP2Shell, WordPress