Hacker utnyttjar två PHP-sårbarheter för att stjäla 2 000 $ i Bitcoin

En hacker stal mer än 2 000 dollar i Bitcoin (BTC) genom att utnyttja två kritiska sårbarheter i språket PHP, som en del av en onlineutmaning för att testa webbservrarnas robusthet. Attacken, genomförd på under 19 timmar, påminner om de bestående riskerna kring säkerheten för infrastrukturer som är värd för kryptotillgångsplånböcker, medan Bitcoin-marknaden förblir stabil kring 600 miljarder dollar i marknadsvärde. Bakgrund Incidenten sker i ett sammanhang där programvarufel fortsätter att utgöra ett stort hot mot onlinetjänster som hanterar digitala tillgångar. PHP, ett programmeringsspråk som används av cirka 75 % av webbplatserna enligt uppskattningar från W3Techs, uppdaterades den 21 oktober 2026 för att åtgärda två kritiska sårbarheter, kallade PHP2Shell. Dessa brister, som fått betyget 9,2 av 10 på CVSS-skalan för allvarlighetsgrad, möjliggör fjärrkörning av kod (RCE) och obehörig åtkomst till serverns filer. Utmaningen \"Steal My Bitcoin\", lanserad av en internetanvändare under signaturen cloudlandsdev på forumet Hacker News, syftade till att bedöma hur farliga dessa sårbarheter verkligen är. Arrangören hade medvetet installerat en ej uppdaterad version av PHP (8.4.26) på en server som innehöll en privat Bitcoin-nyckel, med en initial belöning på 500 dollar, som höjdes till mer än 2 000 dollar genom externa bidrag. Denna typ av initiativ, även om den är kontroversiell, är vanlig inom cybersäkerhetsgemenskapen för att testa gränserna för befintliga skydd. Vid tidpunkten för attacken låg Bitcoin kring 80 269 dollar, med ett börsvärde på 1,61 biljoner dollar, enligt uppgifter från CryptoScore Pro per den 26 oktober 2026. Trots kursens stabilitet inträffar incidenten i en miljö präglad av ökad vaksamhet hos tillsynsmyndigheter och investerare inför hacking-risker, särskilt efter att EU:s förordning MiCA trädde i kraft 2024. Fakta Attacken genomfördes av en hacker känd under pseudonymen KillaBoi , som lyckades komma över 0,02511679 BTC (motsvarande ungefär 2 021 dollar till dagens kurs) den 25 oktober 2026 kl. 15.47 UTC. Enligt uppgifter från Cryptoast utnyttjades sårbarheterna PHP2Shell (refererade till som CVE-2026-109618 och CVE-2026-109619), vilket möjliggjorde fjärrstyrd övertagning av målservern. Här är de viktigaste uppgifterna om operationen: Den totala tiden för att kompromettera servern var 19 timmar, från det att sårbarheten upptäcktes till transaktionen då medlen flyttades ut. Den attackerade servern var värd för en Bitcoin-plånbok som var åtkomlig via ett webbgränssnitt, och vars privata nyckel lagrades i klartext eller i en osäkrad konfigurationsfil. Den genomsnittliga avgiftsnivån i Bitcoin-nätverket vid tidpunkten för incidenten var 0,135 sat/vB, vilket innebar en försumbar transaktionskostnad för överföringen av medlen, enligt uppgifter från Cryptoast. Till skillnad från vad som ursprungligen meddelats var den privata nyckel som KillaBoi återfick inte kopplad till den Bitcoin-adress som var förknippad med belöningen. Utmaningens arrangör hade i själva verket placerat nyckeln till en annan gren av sin plånbok på servern, och överförde därefter själv medlen till hackern efter att attacken validerats. KillaBoi publicerade koden till sin exploit på GitHub och beskrev en metod i två steg: En första fas där serverns minne töms, följt av att kvarvarande data utnyttjas för att identifiera interna adresser. Kringgående av ASLR ( Address Space Layout Randomization ), ett skydd som gör minnesplatser oförutsägbara, genom att konstruera falska datastrukturer. Enligt egna tester fungerade attacken i 7 fall av 10 i en kontrollerad miljö, men KillaBoi påpekar att exploiten var anpassad för just utmaningens konfiguration och inte garanterar att den fungerar på andra PHP-installationer. Flera deltagare har dessutom framhållit att servern var felkonfigurerad under en stor del av utmaningen, vilket försenade utnyttjandet av sårbarheten. Utöver detta isolerade fall har bredare oro uppstått. Cybersäkerhetsbolaget CYFIRMA har identifierat en spaningskampanj som riktar sig mot 216 servrar som potentiellt är sårbara för PHP2Shell, särskilt inom den offentliga sektorn, banksektorn och industrin, enligt en rapport som citeras av The Hacker News . Operationerna, som genomförs från 21 komprometterade maskiner, skulle tillskrivas nordkoreanska hackare nära gruppen Lazarus, även om denna attribution fortfarande är osäker. Dessutom har Palo Alto Networks rapporterat en attack mot en europeisk förvaltning, utan att kunna bekräfta att sårbarheterna i PHP2Shell användes. Förstå de viktigaste begreppen Fjärrkörning av kod (RCE) Fjärrkörning av kod ( Remote Code Execution eller RCE) är en sårbarhet som gör det möjligt för en angripare att köra godtyckliga kommandon på en server eller ett fjärrsystem, utan att fysiskt ha tillgång till det. I det aktuella fallet gjorde sårbarheterna i PHP2Shell det möjligt för KillaBoi att injicera skadlig kod via HTTP-förfrågningar och därmed ta kontroll över servern. Till exempel skulle en angripare kunna utnyttja en RCE för att komma åt känsliga filer, såsom privata nycklar till kryptoplånböcker, eller för att installera skadlig programvara. Privat nyckel och signering av transaktion En privat nyckel är en hemlig teckensträng som gör det möjligt att bevisa ägandet av en Bitcoin-adress och att godkänna transaktioner. I denna incident hämtade hackaren den privata nyckeln som lagrats på servern för att signera en transaktion som överförde medlen till sin egen plånbok. Den digitala signaturen, som genereras utifrån denna nyckel, är det som validerar transaktionen på blockkedjan. Om en privat nyckel komprometteras blir de tillhörande medlen åtkomliga för vem som helst som innehar den, vilket understryker vikten av att förvara den säkert (till exempel i en hårdvaruplånbok eller ett digitalt kassaskåp). ASLR ( Address Space Layout Randomization ) ASLR är en säkerhetsteknik inom IT som gör data-adresserna i minnet slumpmässiga, vilket försvårar attacker som utnyttjar…