Hacker maakt gebruik van twee PHP-kwetsbaarheden om 2.000 $ aan Bitcoin te stelen

Een hacker heeft meer dan 2.000 dollar in Bitcoin (BTC) gestolen door gebruik te maken van twee kritieke kwetsbaarheden in de taal PHP, als onderdeel van een online uitdaging die was georganiseerd om de robuustheid van webservers te testen. De aanval, die in minder dan 19 uur werd uitgevoerd, herinnert aan de aanhoudende ris's verbonden aan de beveiliging van infrastructuren die crypto-activa wallets hosten, terwijl de Bitcoin-markt stabiel blijft rond een marktkapitalisatie van 600 miljard dollar. Context Het incident vindt plaats in een context waarin softwarefouten een grote bedreiging blijven vormen voor online diensten die digitale activa beheren. PHP, een programmeertaal die volgens schattingen van W3Techs door bijna 75% van de websites wordt gebruikt, was op 21 oktober 2026 bijgewerkt om twee kritieke kwetsbaarheden, genaamd PHP2Shell, te verhelpen. Deze lekken, met een score van 9,2 op 10 op de CVSS-ernstscala, maken remote code execution (RCE) en ongeautoriseerde toegang tot serverbestanden mogelijk. De uitdaging "Steal My Bitcoin", gelanceerd door een internetgebruiker onder het pseudoniem cloudlandsdev op het forum Hacker News, was bedoeld om de werkelijke gevaarlijkheid van deze kwetsbaarheden te evalueren. De organisator had bewust een niet-gepatchte versie van PHP (8.4.26) geïnstalleerd op een server die een Bitcoin-privésleutel hostte, met een initiële beloning van 500 dollar, die door externe bijdragen werd verhoogd naar meer dan 2.000 dollar. Dit type initiatief, hoewel controversieel, is gebruikelijk in de cybersecurity-gemeenschap om de grenzen van bestaande beveiligingen te testen. Tijdens de aanval handelde Bitcoin rond de 80.269 dollar, met een marktkapitalisatie van 1,61 biljoen dollar, volgens gegevens van CryptoScore Pro op 26 oktober 2026. Ondanks de stabiliteit van de koersen vindt het incident plaats in een omgeving die wordt gekenmerkt door verhoogde waakzaamheid van toezichthouders en investeerders tegenover hackingrisico's, vooral na de inwerkingtreding van de Europese MiCA-verordening in 2024. De feiten De aanval werd uitgevoerd door een hacker bekend onder het pseudoniem KillaBoi , die erin slaagde om op 25 oktober 2026 om 15:47 UTC 0,02511679 BTC (ongeveer 2.021 dollar tegen de huidige koers) te bemachtigen. Volgens informatie gepubliceerd door Cryptoast werd de diefstal gepleegd door gebruik te maken van PHP2Shell-kwetsbaarheden (geregistreerd als CVE-2026-109618 en CVE-2026-109619), waardoor op afstand controle over de doelserver kon worden verkregen. Hier zijn de belangrijkste elementen van de operatie: De totale tijd van de servercompromittering was 19 uur, vanaf de ontdekking van de kwetsbaarheid tot de transactie waarbij de fondsen werden weggehaald. De doelserver hostte een Bitcoin-wallet die toegankelijk was via een webinterface, waarvan de privésleutel in platte tekst of in een onbeveiligd configuratiebestand was opgeslagen. De gemiddelde netwerkkosten van het Bitcoin-netwerk op het moment van het incident bedroegen 0,135 sat/vB, wat volgens gegevens van Cryptoast een verwaarloosbare transactiekost was voor de overdracht van de fondsen. In tegenstelling tot wat aanvankelijk was aangekondigd, kwam de door KillaBoi herwonnen privésleutel niet overeen met het Bitcoin-adres dat aan de beloning was gekoppeld. De organisator van de uitdaging had in werkelijkheid de sleutel van een andere tak van zijn wallet op de server geplaatst, om vervolgens zelf de fondsen naar de hacker over te maken na validatie van de aanval. KillaBoi heeft de code van zijn exploit op GitHub gepubliceerd, waarin een methode in twee stappen wordt gedetailleerd: Een eerste fase van geheugenuitputting van de server, gevolgd door het exploiteren van residuele gegevens om interne adressen te identificeren. Het omzeilen van ASLR ( Address Space Layout Randomization ), een beveiliging die bedoeld is om geheugenlocaties onvoorspelbaar te maken, via de constructie van valse datastructuren. Volgens zijn tests werkte de aanval in 7 van de 10 gevallen in een gecontroleerde omgeving, maar KillaBoi specificeert dat zijn exploit specifiek was voor de configuratie van de uitdaging en de effectiviteit op andere PHP-installaties niet garandeert. Verschillende deelnemers hebben bovendien opgemerkt dat de server gedurende een groot deel van de uitdaging verkeerd was geconfigureerd, wat de exploitatie van de kwetsbaarheid vertraagde. Naast dit geïsoleerde geval zijn er bredere zorgen ontstaan. Het cybersecuritybedrijf CYFIRMA heeft een verkenningscampagne geïdentificeerd die gericht was op 216 servers die mogelijk kwetsbaar waren voor PHP2Shell, met name in de overheids-, bank- en industriesectoren, volgens een rapport geciteerd door The Hacker News . De operaties, uitgevoerd vanaf 21 gecompromitteerde machines, zouden worden toegeschreven aan Noord-Koreaanse hackers die gelieerd zijn aan de Lazarus-groep, hoewel deze toeschrijving onzeker blijft. Daarnaast heeft Palo Alto Networks een aanval gemeld tegen een Europees bestuur, zonder te kunnen bevestigen of de PHP2Shell-kwetsbaarheden werden gebruikt. Kernbegrippen begrijpen Remote Code Execution (RCE) Remote Code Execution ( Remote Code Execution of RCE) is een kwetsbaarheid waarmee een aanvaller willekeurige commando's kan uitvoeren op een server of een extern systeem, zonder daar fysiek toegang toe te hebben. In dit specifieke geval stelden de PHP2Shell-kwetsbaarheden KillaBoi in staat om kwaadaardige code te injecteren via HTTP-verzoeken, waardoor de controle over de server werd overgenomen. Een aanvaller zou bijvoorbeeld een RCE kunnen gebruiken om toegang te krijgen tot gevoelige bestanden, zoals privésleutels van cryptoportefeuilles, of om malware te installeren. Privésleutel en transactiehandtekening Een privésleutel is een geheime reeks tekens waarmee het eigendom van een Bitcoin-adres kan worden bewezen en transacties kunnen worden geautoriseerd. In dit incident heeft de hacker de op de server opgeslagen privésleutel opgehaald om een…