Un investigador de seguridad conocido como killa ganó un desafío público de Bitcoin tras explotar dos vulnerabilidades críticas de PHP para acceder a un servidor de prueba. El proceso tomó 19,28 horas y el premio fue de 0.02511679 BTC (equivalentes a $2,021.22) el 25 de octubre de 2026. Posteriormente, el investigador publicó la prueba de concepto (PoC).

Un investigador de seguridad conocido en línea como killa ha ganado un desafío público de Bitcoin utilizando dos fallos críticos de PHP para acceder a un servidor de prueba. La ejecución ganadora tomó 19,28 horas. El pozo del premio fue de 0,02511679 BTC, con un valor de 2.021,22 $ en el momento de la victoria el 25 de octubre de 2026, a las 15:47 UTC. Después, el investigador publicó una prueba de concepto (PoC) en GitHub.

El desafío se llevó a cabo en stealmybitcoin.com. El sitio utilizaba una versión de PHP sin parchear y guardaba una clave de monedero detrás de una prueba de ejecución remota de código, lo que significa que el objetivo era ejecutar comandos en el servidor desde el exterior.

Las donaciones elevaron el premio de 500 $ a más de 2.000 $ mientras se realizaba la prueba. El creador mencionó que los primeros intentos fallaron porque el servidor servía inicialmente archivos estáticos a través del modo de línea de comandos de PHP, lo que omitía los errores. Una vez que el sitio pasó a una página de PHP real, la prueba se volvió posible.

Fallos de PHP2Shell Explotados

Los errores están registrados como CVE-2026-109618 y CVE-2026-109619, y el grupo se denomina PHP2Shell. Ambos tienen una puntuación CVSS v4.0 de 9,2, la cual se califica como crítica. El primer error puede corromper la memoria durante la limpieza tras una condición de falta de memoria. El segundo permite que los datos dejados por una solicitud anterior en un trabajador compartido sean reutilizados por una solicitud posterior.

PHP lanzó correcciones el 21 de octubre de 2026, en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La guía de Google indica que el rango afectado abarca desde PHP 5.4 hasta 8.5.11. Las ramas más antiguas, como la 8.1 y anteriores, ya no reciben correcciones oficiales, por lo que esos sitios deben migrar a una versión soportada.

El script público utiliza dos fugas de memoria. La primera fuga revela una dirección de montículo (heap), y la segunda revela una dirección de código PHP. Con ambas direcciones, una solicitud final coloca una estructura falsificada en la memoria que lleva a PHP a llamar a su función de sistema. Luego, el script imprime un marcador de prueba aleatorio, el ID de usuario y el hash del programa de la bandera.

El informe también muestra las limitaciones del trabajo. El script fue construido y probado contra una copia de laboratorio local, no contra el sitio en vivo, y tuvo éxito en aproximadamente siete de cada diez ejecuciones de laboratorio. El autor admite que no se capturó la solicitud completa en vivo. La clave recuperada tampoco coincidía con la dirección del premio anunciada, y el autor calificó eso como un error por parte del creador.

El código del exploit público ya está disponible, y la actividad de hacking comenzó antes de los parches. Amazon informó de intentos que datan del 17 de octubre, cuatro días antes de las correcciones. Sophos afirmó que bloqueó intentos de entregar Potassium, una probable variante de la botnet Mirai, pero no encontró pruebas de un compromiso exitoso.

Actualizar a una versión de PHP parcheada es la única solución completa. Las reglas del firewall y los cambios de configuración pueden reducir el riesgo, pero no cierran los fallos. Después de actualizar, reinicia los servicios y confirma que los trabajadores activos ejecuten la nueva compilación, ya que los entornos de ejecución empaquetados y los contenedores podrían seguir usando código antiguo.