19.5 小时攻破漏洞悬赏站，研究员带走 2021 美元 BTC

据 Woofun AI 消息，安全研究员 （ 用户名 ）成功攻破公开悬赏网站 ，领走价值约 2021 美元的比特币奖金。此次攻击利用的是近期曝光的 PHP 高危漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619），直接导致服务器私钥泄露及资金转移。

该漏洞于 10 月 20 日曝光，但因缺乏公开可靠的攻击代码，一名挑战者于 10 月 24 日搭建该网站，故意使用未打补丁的 PHP 版本并挂出约 500 美元奖金，邀请黑客验证漏洞可攻击性，奖金后续因捐赠涨至约 2000 美元。

Woofun AI 整理数据显示，挑战开始约 19.5 小时后，killa 编写出可用攻击代码并获取服务器私钥，随后在 GitHub 公开完整 PoC；网站创建者确认挑战已解决，并指出自身放置密钥存在失误。

此次事件凸显了 PHP2Shell 漏洞的即时威胁，从漏洞曝光到被利用仅耗时数日。随着完整 PoC 的公开，更多未修补系统面临风险，安全团队需紧急升级 PHP 版本以阻断潜在攻击路径。