보안 연구원이 PHP2Shell 취약점을 이용해 버그 바운티 사이트를 해킹하고 약 2000달러 상당의 비트코인 보상을 받았다

BlockBeats 소식에 따르면, 10월 26일 보안 연구원 killa(GitHub 사용자명 KillaBoi)가 최근 공개된 PHP 고위험 취약점 PHP2Shell(CVE-2026-109618 및 CVE-2026-109619)을 성공적으로 악용하여 공개 현상금 사이트 stealmybitcoin[.]com을 해킹하고 약 2021달러 상당의 비트코인 상금(0.02511679 BTC)을 수령했다.

알려진 바에 따르면, 10월 20일 PHP 코어 원격 코드 실행 취약점이 공개된 후 공개적으로 신뢰할 수 있는 공격 코드가 좀처럼 나타나지 않자, 누군가가 10월 24일 해당 사이트를 구축하여 의도적으로 패치되지 않은 PHP 버전을 사용하고 약 500달러 상당의 비트코인을 '현상금'으로 내걸고 해커들에게 취약점의 실제 공격 가능성 검증을 초대했다. 상금은 이후 기부로 인해 약 2000달러까지 올랐다. 챌린지 시작 약 19.5시간 후, killa는 사용 가능한 공격 코드를 작성하여 서버의 개인 키를 성공적으로 획득했다. 사이트 생성자는 사후에 챌린지가 해결되었음을 확인하고 자신의 키 배치에 실수가 있었음을 지적했지만 공격 성공은 인정했다. killa는 이후 GitHub에 전체 PoC를 공개했다.