Hacker thành công hạ gục máy chủ PHP chưa vá lỗi, ẵm trọn tiền thưởng Bitcoin

Một hacker đã xâm nhập thành công vào một máy chủ dễ bị tổn thương, rinh về giải thưởng trị giá 2.021,22 USD bằng Bitcoin sau khi khai thác các lỗ hổng PHP2Shell, theo một bài đăng trên trang web Steal My Bitcoin. Người tạo ra thử thách đã xác nhận chiến thắng vào ngày 25 tháng 10, khép lại một thí nghiệm được thiết kế nhằm kiểm tra các tuyên bố cho rằng việc khai thác các lỗ hổng phần mềm quan trọng đang trở nên dễ dàng hơn.

Thử thách này được tổ chức trên trang web một ngày trước đó và được thông báo thông qua một bài đăng trên diễn đàn, ban đầu treo giải thưởng trị giá khoảng 502 USD bằng Bitcoin. Các khoản đóng góp sau đó đã nâng tổng giải thưởng lên 0,02511679 BTC, trị giá 2.021,22 USD tại thời điểm giành chiến thắng. Trang web của người tổ chức ghi nhận yêu cầu nhận thưởng thành công vào lúc 15:47 UTC ngày 25 tháng 10, sau khi thử thách diễn ra trong khoảng 19,28 giờ.

Thí nghiệm này diễn ra sau khi công bố CVE-2026-109618 và CVE-2026-109619, hai lỗ hổng PHP nghiêm trọng có thể cho phép thực thi mã từ xa trong những điều kiện nhất định. Các khiếm khuyết này đã nhận được mức độ nghiêm trọng cao và các bản vá đã được phát hành vào ngày 21 tháng 10. Tuy nhiên, việc biến các lỗ hổng này thành một đòn tấn công đáng tin cậy đòi hỏi nhiều thứ hơn là chỉ chạy một mã khai thác có sẵn công khai chống lại một máy chủ bất kỳ.

Người tạo ra thử thách, đăng bài dưới tên 'cloudlandsdev', cho biết dự án được thiết kế để xem liệu có ai có thể sử dụng các lỗ hổng để xâm phạm máy chủ và nhận Bitcoin của nó hay không. Người tạo viết: "Làm điều này vì tôi tò mò không biết có ai ngoài kia thực sự tìm ra cách sử dụng RCE PHP này không, chúng tôi đã hoảng loạn trong vài ngày qua. Chúc vui vẻ!".

PHP2Shell đề cập đến hai lỗ hổng trong quy trình xử lý yêu cầu và quản lý bộ nhớ của PHP. Theo các cấu hình dễ bị tổn thương, kẻ tấn công có thể khai thác các lỗi này để thực thi mã với các quyền của tài khoản máy chủ web.

Thí nghiệm nhanh chóng thu hút sự chú ý, nhưng lưu lượng truy cập phát sinh cũng trở thành một vấn đề. Trong một bản cập nhật, người tạo cho biết khách truy cập đã làm cạn kiệt tài nguyên máy tính có sẵn của máy chủ ngay sau mỗi lần tăng dung lượng. Dung lượng lưu trữ hạn chế cũng ngăn cản máy chủ giữ lại tất cả nhật ký của mình, làm phức tạp thêm các nỗ lực tài liệu hóa một lần thử thành công.

Người chiến thắng, 'KillaBoi', đã công bố một bản chứng minh khái niệm trên GitHub mô tả cuộc tấn công chống lại thử thách trực tiếp và cung cấp môi trường thử nghiệm cục bộ. Cuộc khai thác đã tận dụng cách PHP xử lý việc tải lên đa phần và dữ liệu phiên, trong đó, bằng cách đẩy một trình worker PHP vượt giới hạn bộ nhớ, kẻ tấn công có thể để lại trạng thái nội bộ trong tình trạng không nhất quán. Các yêu cầu tiếp theo sau đó đã phơi bày nội dung bộ nhớ thông qua cookie phiên, cung cấp thông tin về vị trí cấu trúc bộ nhớ và mã thực thi của PHP.

Đáng chú ý, kẻ tấn công đã sử dụng các địa chỉ đó để xây dựng một cấu trúc dữ liệu PHP giả mạo nhằm kích hoạt việc thực thi lệnh trong quá trình dọn dẹp. Yêu cầu cuối cùng trả về bằng chứng cho thấy lệnh đã chạy bên trong tiến trình PHP. Mặc dù máy chủ đã bị xâm phạm thành công, khóa riêng tư được khôi phục không khớp với địa chỉ giải thưởng được quảng cáo. Tuy nhiên, dữ liệu trên chuỗi cho thấy số tiền sau đó đã được gửi đến địa chỉ “bc1qr4…lk7a9”, được dán nhãn là ví lạnh Kraken.

Các nỗ lực khôi phục Bitcoin trước đây thường liên quan đến việc kỹ thuật đảo ngược phần mềm thay vì khai thác một máy chủ trực tiếp. Năm 2024, hacker phần cứng Joe Grand, được biết đến với tên ‘Kingpin’, và nhà nghiên cứu Bruno đã khôi phục quyền truy cập vào 43,6 BTC thuộc về một chủ sở hữu tên là Michael, người đã quên mật khẩu ví 20 ký tự.

Các nhà nghiên cứu đã đảo ngược một phiên bản cũ hơn của trình tạo mật khẩu RoboForm và xác định một lỗ hổng khiến mật khẩu có thể dự đoán được. Họ đã khôi phục ví vào tháng 11 năm 2023, khi Bitcoin trị giá khoảng 1,6 triệu USD. Giá trị của nó đã leo thang gần 3 triệu USD vào thời điểm việc khôi phục được báo cáo vào tháng 5 năm 2024.

Một trường hợp gần đây hơn liên quan đến chủ sở hữu Bitcoin đã khôi phục 5 BTC trị giá khoảng 400.000 USD vào tháng 5 năm 2026 sau khi mất quyền truy cập vào ví trong nhiều năm. Chủ sở hữu ẩn danh, được gọi là ‘cprkrn’, cho biết AI Claude của Anthropic đã giúp xác định một tệp sao lưu từ tháng 12 năm 2019, có thể được giải mã bằng mật khẩu mà chủ sở hữu đã viết ra trước đó trong một cuốn sổ tay. Bản sao lưu chứa các khóa cần thiết để truy cập Bitcoin.

Sự kiện mới nhất diễn ra khi các nhóm bảo mật phải đối mặt với áp lực vá các cài đặt PHP sau khi công khai các lỗ hổng PHP2Shell. Một báo cáo riêng về tranh cãi tiết lộ lỗ hổng đã trình bày chi tiết cách việc công bố sớm đã làm gián đoạn quá trình phát hành phối hợp. Dù sao đi nữa, hiện tại, bằng chứng về cuộc tấn công thành công mới nhất cho thấy việc khai thác các lỗ hổng PHP này có lẽ không quá khó sau tất cả.