« Steal My Bitcoin » : un pentester empoche 2 000 dollars en BTC en exploitant PHP2Shell
« La sécurité est un processus, pas un produit. » (Bruce Schneier, Secrets and Lies, 2000)
Un coffre-fort avec la porte ouverte, exprès. Samedi 24 octobre, le chercheur en sécurité James Pavur a mis en ligne un serveur volontairement vulnérable aux failles PHP2Shell avec un wallet bitcoin dedans et une consigne tenant en trois mots, volez mon bitcoin. Dix-neuf heures plus tard, un pentester de 26 ans installé au Royaume-Uni repartait avec les clés.
La communauté a fait grimper la prime de 500 à 2 000 dollars en un week-end et le vainqueur en reverse une partie à une association de malades du lupus. Le processus cher à Schneier a pris ici trois heures de travail effectif.
Points clés
- Un site défi lancé le 24 octobre exposait un serveur PHP non corrigé et une récompense en BTC
- Jaydip Modhwadia, alias Killa, a pris le contrôle de la machine le 25 octobre à 15h47 UTC
- Sa charge tient dans un script Python et moins de vingt requêtes web
- La cagnotte est passée de 500 à 2 000 dollars grâce aux dons de la communauté
- CISA a inscrit les deux failles à son catalogue des vulnérabilités exploitées le 26 octobre
Steal My Bitcoin ou le bug bounty réduit à un wallet
Le principe d’un bug bounty classique passe par une plateforme, un formulaire et un comité qui juge la gravité avant de payer. Pavur a supprimé tout ça. Un serveur, une faille connue, une adresse bitcoin : le premier qui exécute du code sur la machine se sert lui-même. Le paiement est la preuve, et la blockchain fait office de procès-verbal.
La mécanique a séduit. D’après The Register, la mise initiale de 500 dollars a été quadruplée par la communauté, pour atteindre 2 000 dollars, soit environ 0,025 bitcoin au cours de ce mercredi 28 octobre vers 80 500 dollars.
Le gagnant s’appelle Jaydip Modhwadia, développeur et pentester installé au Royaume-Uni, connu sous le pseudonyme Killa. Le compteur du site affiche « My Bitcoin was stolen after 19.28 hours », mais l’intéressé relativise : il a travaillé « trois heures environ au total ». Pavur avait ajouté un point d’entrée PHP dont l’exploit avait besoin vers 13h UTC le 25 octobre, et l’exécution de code à distance est tombée à 15h47 UTC.
Sa charge utile tient dans un fichier Python unique et « vingt requêtes HTTP au maximum ». Le script contourne surtout l’ASLR, la protection qui mélange aléatoirement les adresses mémoire d’un programme pour compliquer la vie des attaquants. Le code est public sur GitHub.
Modhwadia a annoncé qu’il reverserait une partie du gain à la Lupus Foundation, qui lutte contre le lupus, une maladie auto-immune dont il souffre lui-même. En 2021, le hacker de Poly Network avait remis en jeu sa prime de 500 000 dollars après avoir rendu 610 millions, pour qui ferait mieux que lui.
PHP2Shell menace encore 32 millions de serveurs
Les deux failles, CVE-2026-109618 et CVE-2026-109619, touchent toutes les versions de PHP depuis la 5.4, autrement dit le moteur d’une bonne partie du web mondial. D’après Brian Krebs, Censys recensait 2,58 millions d’hôtes exposés et 54,9 millions de propriétés web sous PHP au moment des correctifs d’urgence du 21 octobre.
Les patchs existent : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Mais Censys, cité par The Hacker News, comptait encore 32,51 millions de services PHP sur une version vulnérable. CISA a ajouté les deux CVE à son catalogue des failles activement exploitées lundi 26 octobre, avec une note de gravité de 9,2 sur 10, et donné aux agences fédérales américaines jusqu’au 29 octobre pour corriger. La première exécution de code dans la nature avait été attrapée sur des pots de miel le 24 octobre, le jour même du lancement de Steal My Bitcoin.
Votre exchange ne tourne sans doute pas sous PHP, et plusieurs plateformes se sont empressées de le dire après l’alerte lancée par Changpeng Zhao. Mais le blog qui vous recommande un wallet et le forum où vous lisez des conseils tournent très souvent sous WordPress, donc sous PHP. Un serveur compromis peut servir une fausse page de connexion ou remplacer une adresse de dépôt sans que rien ne change à l’écran.
Si vous administrez un site, la mise à jour prend moins de temps que Modhwadia n’en a mis à entrer. Si vous le visitez seulement, méfiez-vous des sites restés en « maintenance » depuis une semaine et vérifiez toute adresse de dépôt sur une seconde source. En France, l’ANSSI avait fait couper préfectures, impôts et Bercy le temps de corriger, et une faille connexe baptisée Broccoli2Shell a reçu son correctif pour Windows le 26 octobre.
Magali
Tombée dans le terrier du lapin blanc en 2017, je suis passée de lectrice assidue à Rédactrice en chef du Journal du Coin. J’aime m'investir dans les coulisses de projets pour porter ma vision d'un futur décentralisé. Amoureuse des belles lettres, je coordonne nos équipes pour transformer la complexité technique en une information humaine, précise et sans jargon inutile. Entre entrepreneuriat et rédaction, ma mission est claire : vulgariser demain, mais le faire aujourd'hui.