Сервер с PHP взломали за 19 часов ради награды в $2021

Победу подтвердили 25 октября, примерно через 19 часов после запуска конкурса.

На сервере работал PHP 8.4.26 без последних исправлений. Организатор, выступавший на форуме Hacker News под именем cloudlandsdev, разместил там закрытый ключ от одной из ветвей своего биткоин-кошелька. Как сообщает Cryptoast, этот ключ не давал доступа к адресу, где лежала награда: после проверки результата организатор сам перевёл биткоины победителю.

Сначала за взлом предлагали около $502 (около 40 000 ₽), затем взносы других участников увеличили сумму. К моменту победы на кону было 0,02511679 BTC, или $2021,22 (около 163 000 ₽). Сайт конкурса зафиксировал получение награды 25 октября в 15:47 UTC, через 19,28 часа после начала испытания. Организатор подтвердил успех по журналам сервера.

KillaBoi опубликовал на GitHub код атаки и технические пояснения. По его описанию, он сначала добился исчерпания памяти сервера, а затем использовал данные, оставшиеся после работы процесса PHP, чтобы узнать внутренние адреса. Это помогло обойти ASLR, защиту, которая делает расположение данных в памяти непредсказуемым. После этого хакер смог заставить сервер выполнять его команды.

По оценке KillaBoi, для атаки достаточно примерно 20 HTTP-запросов. В его тестовом окружении она сработала в 7 случаях из 10. При этом сам хакер уточнил, что готовил код под конфигурацию конкурсного сервера: на других установках PHP он может не сработать. Участники также указывали на первоначальную ошибку в настройке сервера, которая мешала использовать уязвимость на протяжении значительной части испытания.

Уязвимости PHP2Shell и исправления

Под названием PHP2Shell объединяют две критические уязвимости PHP, CVE-2026-109618 и CVE-2026-109619. Обеим присвоили оценку серьёзности 9,2 балла из 10. Исправления вышли 21 октября, за несколько дней до конкурса. Уязвимую версию PHP 8.4.26 организатор выбрал намеренно: ему был нужен сервер без этих обновлений.

Исправления доступны в PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Специалист по кибербезопасности Hacker Fantastic из Hacker House призвал администраторов установить обновления.

По данным, которые Cryptoast приводит со ссылкой на компанию CYFIRMA, была обнаружена разведывательная активность в отношении 216 серверов, потенциально уязвимых к PHP2Shell. Среди них назывались серверы государственных, банковских и промышленных организаций. Активность связывали с 21 скомпрометированной машиной и предположительно с хакерами, близкими к северокорейской группе Lazarus, но такая атрибуция остаётся неопределённой.

Францию сначала называли наиболее затронутой страной, однако подсчёт оказался сильно завышен из-за включения устройств Freebox, уязвимость которых не была установлена. Palo Alto Networks сообщала об атаке на европейское ведомство, но позднее признала, что не может подтвердить использование PHP2Shell для проникновения в его сеть.

Ранее исследователь подтвердил эксплуатацию PHP2Shell на PHP 8.4.26 на сервере Apache с модулем mod_php. Конкурсный взлом стал продолжением этой демонстрации: на сервере с той же версией PHP атакующий добился выполнения команд.