vulnerabilidade crítica no PHP

Um hacker conseguiu explorar uma vulnerabilidade crítica no PHP, comprometendo um servidor e reivindicando uma recompensa de aproximadamente R$10.106,10 em Bitcoin. A iniciativa, chamada PHP2Shell, testou alegações de que a inteligência artificial facilita a exploração de falhas de segurança.

Desafio de exploração de vulnerabilidades

O desafio foi criado para verificar se a exploração de vulnerabilidades críticas está se tornando mais fácil, especialmente com o avanço da IA. O desafio, disponibilizado no site Steal My Bitcoin, ofereceu inicialmente uma recompensa de aproximadamente R$2.510,00 em Bitcoin, mas a doação de usuários elevou o prêmio para 0,02511679 BTC, equivalente a R$10.106,10 no momento da vitória.

O vencedor, identificado como KillaBoi, publicou um proof of concept no GitHub, descrevendo o ataque contra o desafio em tempo real e fornecendo um ambiente de teste local. A exploração utilizou a forma como o PHP lida com uploads multipartes e dados de sessão, deixando o servidor em um estado inconsistente ao exceder seus limites de memória.

Vulnerabilidades críticas no PHP

As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, permitem a execução de código remoto sob certas condições. Ambas receberam classificações de severidade crítica, e correções foram liberadas em 21 de outubro. No entanto, transformar essas falhas em ataques confiáveis exige mais do que simplesmente executar exploits públicos contra servidores aleatórios.

O criador do desafio, que se identificou como cloudlandsdev, explicou que o projeto tinha como objetivo verificar se alguém conseguiria usar as vulnerabilidades para comprometer o servidor e reivindicar o Bitcoin. “Criei isso porque estou curioso para saber se alguém já descobriu como usar realmente essa RCE do PHP, passamos os últimos dias em pânico. Divirta-se!” escreveu o criador.

Desafios técnicos e logísticos

O experimento atraiu atenção, mas também gerou problemas técnicos. O criador relatou que, após cada aumento de capacidade, os visitantes estavam esgotando os recursos computacionais do servidor. Além disso, o armazenamento limitado impediu que o servidor retivesse todos os logs, dificultando o registro de tentativas bem-sucedidas.

Apesar do sucesso do ataque, a chave privada recuperada não correspondia ao endereço do prêmio anunciado. No entanto, dados da blockchain mostram que os fundos foram enviados posteriormente para um endereço bc1qr4…lk7a9, identificado como uma carteira fria da Kraken.

Casos anteriores de recuperação de Bitcoin

Recuperações de Bitcoin por meio de engenharia reversa já ocorreram anteriormente. Em 2024, o hacker Joe Grand, conhecido como Kingpin, e o pesquisador Bruno recuperaram acesso a 43,6 BTC pertencentes a um dono identificado como Michael, que havia esquecido uma senha de 20 caracteres. Eles identificaram uma falha no gerador de senhas do RoboForm, permitindo a previsão da senha.

Outro caso recente envolveu um titular de Bitcoin que recuperou cinco BTC, valendo cerca de R$2,000,000, após perder o acesso à carteira por anos. O dono pseudônimo, identificado como cprkrn, afirmou que a IA Anthropic’s Claude ajudou a identificar um arquivo de backup de dezembro de 2019, que poderia ser decifrado com uma senha escrita anteriormente em um caderno.

Pressão sobre equipes de segurança

Com a divulgação pública das vulnerabilidades PHP2Shell, equipes de segurança enfrentam pressão para corrigir instalações do PHP. Um relatório separado detalhou como a publicação precoce das vulnerabilidades interrompeu o processo coordenado de divulgação. No entanto, as evidências do ataque recente sugerem que explorar essas vulnerabilidades pode não ser tão difícil quanto se acreditava.