【脆弱性】PHPの脆弱性を試す公開競技が突破

PHPの脆弱性「PHP2Shell」を利用したコード実行を試す賞金付き公開競技「Steal My Bitcoin」が、2026年10月26日、日本時間で突破された。主催者は、サーバーのログが鍵を読み出すプログラムの実行と持ち出しの成功を裏付けているとしている。

競技は個人が10月25日5時30分に公開した。サーバー内のビットコインの鍵を取得した参加者に賞金が渡される仕組みで、突破時の賞金は0.02511679 BTC（2,021.22ドル）だった。競技サーバーでは修正前のPHP 8.4.26が使われていた。PHP2Shellを修正したPHP 8.4.27は10月21日に公開されている。

競技サイトによると、突破は26日0時47分で、公開から19.28時間後だった。ただし、当初はPHPのファイルを返すページがなく、主催者がページを追加したのは25日22時頃だった。勝者は鍵を得るまでの作業時間を合計約3時間と説明している。

PHP2Shellは、認証なしでサーバー上のコード実行につながる可能性がある一連の脆弱性とされる。勝者の手法は悪用の障壁とみられていたASLRを回避したが、今回の成功は標的固有の事例であり、任意のPHPサーバーへの攻撃を大規模に自動化できることを示すものではない。

取得された鍵は賞金のアドレスに対応しておらず、主催者はサーバーに置く鍵を取り違えたと説明した。その後、主催者から勝者に賞金のウォレットが移転された。