LONDON (IT BOLTWISE) – Ein Hacker hat bei der PHP2Shell-Challenge einen Server erfolgreich kompromittiert und dafür 0,02511679 BTC als Preis beansprucht. Auslöser waren zwei als kritisch eingestufte PHP-Schwachstellen, die unter bestimmten Bedingungen Remote Code Execution ermöglichen. Die Aktion startete als Experiment und entwickelte sich rasch zu einem echten Belastungstest für Server-Ressourcen und Logging. Offen bleibt dabei vor allem, wie gut sich die Methode unter realen Betriebsbedingungen gegen gepatchte Systeme übertragen lässt.
Die PHP2Shell-Challenge zeigt in zugespitzter Form, wie schnell aus einer Sicherheitsmeldung ein praktischer Live-Test wird: Ein Angreifer hat laut einer öffentlich dokumentierten Auswertung einen verwundbaren Server geknackt und anschließend eine Bitcoin-Prämie im Wert von 2.021,22 US-Dollar (zum Zeitpunkt des Claims) zugesprochen bekommen. Grundlage war ein Verwundbarkeits-Paket in PHP, das als Voraussetzung Remote Code Execution unter bestimmten Konfigurationen ermöglicht. Der entscheidende Punkt ist weniger die Behauptung eines einzelnen Exploit-Autors, sondern die Beobachtung, dass sich die Schwächen im Rahmen der Challenge offenbar in einen reproduzierbaren Angriff überführen lassen – zumindest in einer kontrollierten Umgebung.
Der Wettlauf um den Preis verlief dabei ungewöhnlich dynamisch. Die Challenge wurde zunächst mit etwa 502 US-Dollar Bitcoin gestartet, der Belohnungstopf wuchs aber im Verlauf der Laufzeit auf 0,02511679 BTC an. Laut den vom Challenge-Ersteller erfassten Zeitstempeln erfolgte der erfolgreiche Claim am 25. Oktober um 15:47 UTC, nach rund 19,28 Stunden Laufzeit. Als Auslöser dienten zwei als kritisch bewertete PHP-Schwachstellen, benannt als CVE-2026-109618 und CVE-2026-109619. Fixes wurden am 21. Oktober veröffentlicht; für Angreifer sind solche Patch-Zyklen aber nur dann relevant, wenn Systeme tatsächlich zeitnah aktualisiert werden und die verwundbaren Konfigurationen nicht „aus Versehen“ wiederhergestellt werden.
Technisch wird PHP2Shell als Problem in zwei Engpässen beschrieben: der Anforderungsverarbeitung und der Speicherverwaltung innerhalb von PHP. Unter verwundbaren Konfigurationen kann ein Angreifer Code im Kontext des Webserver-Accounts ausführen. Entscheidend ist jedoch, dass der Weg vom „reinen“ Proof-of-Concept zu einem verlässlichen Angriff mehr verlangt als das bloße Starten eines öffentlich verfügbaren Exploits. In der Challenge-Umgebung wurden mehrere praktische Hürden sichtbar: Der Betreiber berichtete, dass Besucher nach Kapazitätserhöhungen die verfügbaren Rechenressourcen zügig ausschöpften. Zusätzlich begrenzte der Speicher offenbar, wie viele Logs dauerhaft erhalten bleiben konnten – ein Faktor, der forensische Auswertung erschwert und damit die Frage „hat es funktioniert?“ von der Frage „warum hat es funktioniert?“ trennt.
Der Gewinner „KillaBoi“ lieferte dazu einen Proof of Concept, der den Angriff gegen die Live-Challenge nachstellbar machen sollte und zugleich eine lokale Testumgebung bereitstellte. Der Angriff nutzt dabei laut Beschreibung Aspekte von multipart uploads und Session-Daten in PHP: Indem der Angreifer einen PHP-Worker über ein Speicherlimit drückt, soll interner Zustand inkonsistent werden. Anschließende Requests würden dann Informationen aus dem Speicher über Session-Cookies exfiltrieren – insbesondere Adressen, die wiederum Rückschlüsse auf Layout und Positionen von Speicherstrukturen sowie auf ausführbaren Code erlauben. Genau diese „Adressierbarkeit“ ist für moderne Exploit-Ketten oft der Unterschied zwischen einem zufälligen Treffer und einem deterministischen Angriff.
Aufbauend auf den gewonnenen Adressen konstruiert der Exploit anschließend eine gefälschte PHP-Datenstruktur. Damit wird ein Pfad getriggert, der während der Bereinigung (cleanup) zur Ausführung von Kommandos innerhalb des PHP-Prozesses führt. Der letzte Request soll dabei ein Belegsignal geliefert haben, dass der Befehl tatsächlich im Prozesskontext lief. Interessant ist die weitere Abfolge: Obwohl der Server kompromittiert wurde, passte ein geborgenes privates Schlüsselmaterial nicht zum beworbenen Preisziel. Auf der Blockchain ließ sich aber nachvollziehen, dass die Gelder anschließend an eine Adresse gesendet wurden, die als Kraken Cold Wallet bezeichnet wird. Für Sicherheitsverantwortliche ist das vor allem ein Hinweis darauf, dass „der Inhalt der Server-Umgebung“ nicht zwangsläufig 1:1 dem entspricht, was auf der Oberfläche einer Challenge als Ziel kommuniziert wird – und dass Angreifer häufig alternative Zahlungs- oder Abflussziele priorisieren.
Der Fall reiht sich damit in eine Reihe unterschiedlicher Wallet- und Zugriffs-Recovers ein, bei denen einmal eher reverse engineering im Vordergrund stand und einmal eher ein direkter Systemzugriff. 2024 gelang es einem Hardware-Hacker („Kingpin“) zusammen mit einem Forscher, Zugriff auf 43,6 BTC wiederherzustellen, nachdem der frühere Wallet-Besitzer (genannt als Michael) ein 20-stelliges Wallet-Passwort vergessen hatte. Dort wurde laut Darstellung eine ältere Version eines Passwortgenerators analysiert, um einen Rechenweg für vorhersagbare Passwörter abzuleiten; die Rückgewinnung erfolgte, als der Bitcoin-Kurs bereits stark gestiegen war. Im Mai 2026 wurde zudem ein Fall beschrieben, in dem ein anonymer Nutzer („cprkrn“) nach Jahren des Zugriffsverlusts fünf BTC zurückholte, wobei ein KI-Assistenzsystem geholfen haben soll, eine Backup-Datei zu finden, die sich mit einem in einem Notizbuch abgelegten Passwort entschlüsseln ließ. Diese Gegenüberstellung zeigt: „Erfolg“ im Krypto-Umfeld hängt selten nur an einer technischen Fähigkeit, sondern oft an der Verfügbarkeit passender Artefakte – seien es Speicherinhalte, Backup-Dateien oder rekonstruierbare Schlüsselpfade.
Für das Sicherheitsteam hinter PHP-Installationen ergibt sich daraus eine klare Priorität: Patch-Management bleibt die erste Schutzschicht, weil die Beweiskette in der Challenge genau den Übergang von Theorie zu Praxis adressiert. Gleichzeitig wird in der Quelle auch betont, dass die Veröffentlichung rund um die Schwachstellenkontroverse den koordinierten Release-Zyklus gestört haben könnte. Selbst wenn solche Prozessdetails für Endnutzer abstrakt wirken, beeinflussen sie real die Zeit, in der Systeme ungeschützt bleiben. Die abschließende Beobachtung lautet daher weniger „AI macht Ausnutzen leicht“, sondern: Die Kombination aus kritisch einstufbaren Schwächen, einem reproduzierbaren Exploitpfad und der öffentlich gemachten Challenge reduziert offenbar die Einstiegshürde. Wer PHP-Produktion betreibt, sollte deshalb nicht nur den Patch einspielen, sondern auch prüfen, ob Applikationen weiterhin auf konfigurierte Altpfade zugreifen, die dieselbe Angriffsoberfläche indirekt wieder öffnen können.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHP2Shell: Hacker knackt ungesicherten Server und kassiert 0,02511679 BTC" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHP2Shell: Hacker knackt ungesicherten Server und kassiert 0,02511679 BTC" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHP2Shell: Hacker knackt ungesicherten Server und kassiert 0,02511679 BTC« bei Google Deutschland suchen, bei Bing oder Google News!