Британский разработчик и пентестер Джайдип Модхвадия, известный как Killa, получил $2 тыс. в биткоинах за успешную эксплуатацию уязвимости PHP2Shell на специально подготовленном сайте. На выполнение задачи ему потребовалось около трёх часов — и это важный сигнал для команд, которые ещё считают историю с PHP2Shell сугубо лабораторной проблемой.
Конкурс запустил исследователь Джеймс Павур: он предложил забрать приз тому, кто добьётся удалённого выполнения кода на его сайте через PHP2Shell. По данным The Register, изначально ставка составляла $500, но участники сообщества увеличили её до $2 тыс. После успешной атаки сайт сообщил, что «биткоин был украден» через 19,28 часа после старта, хотя сам победитель оценивает активную работу примерно в три часа.
Условия CTF оказались сложнее, чем выглядели в день запуска. Сайт работал на уязвимой версии PHP, но поначалу отдавал только статический HTML. Для эксплуатационной цепочки нужен был доступный PHP-файл, через который можно закрепить полезную нагрузку. Такой endpoint появился на площадке Павура примерно 25 октября около 13:00 UTC. В 15:47 UTC Модхвадия уже получил RCE, раскрыв этот PHP-обработчик.
Именно эта деталь отрезвляет дискуссию вокруг уязвимости PHP2Shell. Наличие уязвимой версии интерпретатора ещё не означает автоматический захват сервера, но и не превращает риск в теоретический. Эксплуататору нужны конкретные свойства приложения: исполняемый PHP-маршрут, подходящая конфигурация и возможность выстроить цепочку запросов. В реальной инфраструктуре такие условия встречаются регулярно — особенно в старых CMS, самописных панелях администрирования и сервисах, где PHP соседствует с давно забытыми endpoint'ами.
Модхвадия опубликовал описание подхода и одnofайловый Python-скрипт. По его словам, для полной атаки требуется не более 20 HTTP-запросов. Решение также обходит ASLR — механизм рандомизации адресного пространства, который в первые дни после публикации считался серьёзным препятствием для практической эксплуатации. Ограничение Nginx на запросы размером до 1 МБ не остановило участников конкурса, хотя и добавило атаке технических ограничений.
При этом превращать результат CTF в тезис «любой PHP-сервер уже взламывают агенты ИИ» было бы натяжкой. Сооснователь и CTO Hudson Rock Алон Гал назвал работу Модхвадии сложной целевой эксплуатацией, а не доказательством массовой автоматизации. Но вывод для защитников от этого не становится мягче: уязвимость PHP2Shell можно применить против живой цели даже там, где есть заметные ограничения и защитные механизмы.
Для разработчиков практический список действий довольно прозаичен. Нужно убедиться, что используемые версии PHP закрывают известные проблемы, инвентаризировать внешние PHP-endpoint'ы и убрать ненужные обработчики из публичного доступа. Отдельно стоит проверить логи на необычные серии запросов к PHP-файлам, ошибки интерпретатора и всплески запросов с нетипичными размерами или параметрами. Для бизнеса это ещё один аргумент не откладывать патчи из-за надежды на WAF, ASLR или лимиты веб-сервера: они могут усложнить атаку, но не заменяют устранение причины.
Интерес к конкурсу был настолько высоким, что сайт периодически становился практически недоступен для участников. Этот шум не стоит путать с доказанным масштабом компрометаций, однако он показывает, насколько быстро исследователи и потенциальные злоумышленники берутся за свежие цепочки RCE. Модхвадия сообщил, что часть награды пожертвовал Lupus Foundation; технический же итог истории куда менее благотворителен: окно между публикацией метода и его повторным использованием становится всё уже. Детали конкурса и опубликованного артефакта собрал .
