EN
Español
Português (Brasil)
Türkçe
Tiếng Việt
Bahasa Indonesia
Polski
Čeština
Română
Slovenčina
Magyar26 Oct 2026
Un hacker surnommé KillaBoi a remporté le défi Steal My Bitcoin, soit environ 2 021 dollars en BTC, en exploitant PHP2Shell, deux failles critiques de PHP corrigées le 21 octobre. Il lui a fallu un peu plus de 19 heures. Les experts appellent à mettre PHP à jour sans attendre.
Bitcoin TradeReviewed News Desk
La faille PHP2Shell vient d’être démontrée en conditions réelles, avec du Bitcoin (BTC) en jeu. Selon Cryptoast, un hacker connu sous le pseudonyme KillaBoi a remporté le défi Steal My Bitcoin après un peu plus de 19 heures, le 25 octobre à 15 h 47 UTC. La récompense atteignait alors 0,02511679 BTC, soit environ 2 021 dollars.
Un serveur volontairement vulnérable
L’organisateur, identifié comme cloudlandsdev sur le forum Hacker News, avait installé PHP 8.4.26, une version sans les derniers correctifs, sur un serveur contenant une clé privée Bitcoin. Le principe était simple : quiconque parvenait à prendre le contrôle du serveur pouvait repartir avec la récompense. La mise de départ était de 500 dollars, puis des contributions extérieures ont fait grimper la cagnotte.
Le but était de vérifier si PHP2Shell, le nom donné à deux failles critiques corrigées le 21 octobre, permettait vraiment une prise de contrôle à distance. Détail notable : la clé récupérée par KillaBoi ne correspondait pas à l’adresse de la récompense, car l’organisateur avait placé sur le serveur la clé d’une autre branche de son portefeuille. Après avoir vérifié la réussite de l’attaque dans les journaux du serveur, il a transféré lui-même les bitcoins au gagnant.
Une vingtaine de requêtes suffisent
KillaBoi a publié son code sur GitHub. Il a d’abord épuisé la mémoire du serveur, puis exploité des données laissées par le processus PHP pour récupérer des adresses internes et contourner l’ASLR, une protection qui rend les emplacements mémoire imprévisibles. Selon sa démonstration, une vingtaine de requêtes HTTP suffisent, et l’attaque a réussi 7 fois sur 10 dans son environnement de test. Il précise toutefois que l’exploit a été conçu pour la configuration du défi et ne fonctionne pas forcément ailleurs.
Mettre PHP à jour sans attendre
Les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, ont un score de gravité de 9,2 sur 10. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Selon The Hacker News, cité par Cryptoast, la société CYFIRMA a repéré une campagne de reconnaissance visant 216 serveurs potentiellement vulnérables, que certains relient au groupe nord-coréen Lazarus, une attribution qui reste incertaine. Les premiers chiffres plaçant la France en tête des pays exposés ont été largement surestimés à cause d’une erreur de comptage liée aux Freebox.
Ce que cela signifie pour les traders
- Le risque vient souvent des serveurs : de nombreux sites et services crypto tournent sur PHP. Une plateforme mal maintenue peut exposer des données ou des fonds.
- Privilégiez les plateformes sérieuses : sécurité, preuve de réserves et licences comptent autant que les frais. Comparez-les dans notre comparatif des plateformes crypto et lisez nos avis sur BingX et OKX.
- Ne laissez pas tout sur un seul service : pour une épargne à long terme, un portefeuille personnel dont vous contrôlez la clé réduit le risque lié à un tiers. Voir aussi notre méthode de test.
Source : Cryptoast (avec Steal My Bitcoin, GitHub et The Hacker News). Ceci n’est pas un conseil financier.
Related reviews
Sources
News is for information only and is not financial advice. More crypto news
You'll hear it here first
Get crypto news first on our Telegram channel.