PHPの更新を適用していないサイトからビットコインを盗む賞金付きハッキングチャレンジが開催され19時間で突破される

2026年10月25日、PHPの深刻な脆弱(ぜいじゃく)性を悪用してウェブサイトからビットコインを盗み出すチャレンジ「Steal My Bitcoin」が開催されました。参加者はセキュリティ更新プログラムを適用していないサーバーへの侵入を試み、ビットコインの秘密鍵を入手できれば賞金を獲得できるというルールで、開始から約19時間後に攻略者が現れて約2000ドル(約31万4000円)相当のビットコインを獲得したことが報告されています。

Challenge won · Steal my Bitcoin
https://stealmybitcoin.com/

PHPはWordPressなどのウェブサイトで広く利用されているプログラミング言語です。2026年10月には攻撃者が外部からサーバー上で不正なプログラムを実行できる「PHP2Shell」と呼ばれる脆弱性が2件発見され、日本時間の10月21日23時頃に緊急アップデートが公開されました。

PHPに深刻度「9.2」の脆弱性が2件発覚、サーバー乗っ取りの恐れで緊急パッチを10月21日に公開へ - GIGAZINE

PHP2Shellを悪用するとサーバー内の情報を盗み取ったり、保存されたファイルを改ざんしたりできる可能性があります。ただし、脆弱性が存在するだけで必ず攻撃が成功するわけではなく、実際に悪用できるかどうかはサーバーの設定などにも左右されます。

そこで登場したのが、あえて脆弱なPHPを動作させたウェブサイト「Steal My Bitcoin」です。運営者はPHP2Shellを実際に悪用できる人物がいるのかを確かめるため、ビットコインを賞金にしたチャレンジを企画したとのこと。

チャレンジでは脆弱性が修正される前のPHP 8.4.26を使用するサーバーが用意されました。参加者はサーバーへの攻撃を通じてビットコインの送金に必要な「秘密鍵」を探し出し、賞金用のウォレットからビットコインを移動させることを目指します。

賞金は当初約500ドル(約7万9000円)でしたが、寄付によって約2000ドル(約31万4000円)まで増加しました。攻撃対象はウェブアプリケーションとPHPの実行環境に限定され、基盤となるサーバーへの攻撃やサービスを妨害する行為は禁止されていたとのこと。

ところが、チャレンジ開始から17時間以上が経過しても賞金を獲得する参加者は現れませんでした。セキュリティ研究者からは「サーバーの設定によって脆弱性を悪用するための処理に到達できないのではないか」という疑問も浮上します。

実際にサイトを調査したセキュリティ研究者のLiveOverflow氏は、当初のサーバーがPHPのプログラムを実行するページを公開していなかったと指摘しました。運営者はその後、日本時間の10月25日22時頃にPHPのプログラムを実行するページを追加しました。

I took a closer look at the https://t.co/l4Hl3MWVLd CTF, which aims to demonstrate that PHP2SHELL is not realistically exploitable. So I gave it a try.

Note: My analysis could be wrong, and I'm more than happy to be proven otherwise.

Here’s what I found:
• The server responds… pic.twitter.com/8953HiFORs

— LiveOverflow 🔴 hextree.io (@LiveOverflow) 2026年10月25日

そして日本時間の2026年10月26日0時47分頃、参加者のKillaBoi氏が攻撃に成功。開始から約19時間17分、PHPの実行ページが追加されてから約3時間でチャレンジが突破され、0.02511679BTC(約31万7000円)の賞金を獲得しました。

KillaBoi氏は攻略方法をGitHubで公開しています。説明によると、PHPがメモリ不足に陥った際の処理を悪用してサーバー内部の情報を取得し、最終的にサーバー上でコマンドを実行することに成功したとのこと。PHP2Shellが実際の攻撃につながることを示す結果となりました。

GitHub - KillaBoi/StealMyBitcoin-PoC: A public release of the Steal My Bitcoin challenge · GitHub
https://github.com/KillaBoi/StealMyBitcoin-PoC

チャレンジサイトには記事作成時点で「Challenge won(チャレンジ成功)」と表示され、サーバー内にビットコインが残っていないことが案内されています。運営者は今後も新たなチャレンジを公開する可能性があるとしており、今回の企画を運営した経験についても別途詳しく公開する予定だと述べています。