Un serveur PHP sans correctif nargue les pirates avec « Steal My Bitcoin » et garde sa prime

Récit

2 000 dollars en bitcoin attendent toujours un voleur sur le site Steal My Bitcoin. Le 24 octobre 2026, un développeur signant cloudlandsdev a lancé ce défi sur le forum Hacker News. Il s’agit de percer un serveur exposé exprès à PHP2Shell, la double faille de PHP dont les détails ont fuité le 20 octobre, pour y trouver une clé de portefeuille bitcoin cachée. Le 25 octobre 2026, le portefeuille du défi Steal My Bitcoin contenait environ 0,025 bitcoin, et rien n’en était sorti. Son solde est public sur la blockchain.

Que faut-il voler, exactement ?

Pas la cryptographie du bitcoin : il faut entrer dans l’ordinateur qui garde la clé. Selon le site, elle est accessible au compte qui fait tourner PHP, par un petit programme baptisé print-flag. Pour la lire, il faut exécuter du code à distance sur la machine, ce que promet PHP2Shell.

Le site précise que sa version de PHP date d’avant la publication des failles et que tout le trafic est enregistré. D’après des lecteurs du fil, la machine tourne derrière le serveur web nginx, qui refuse par défaut les requêtes de plus d’un mégaoctet. Son auteur dit avoir agi par curiosité : savoir si quelqu’un « a trouvé comment se servir vraiment » de cette faille « qui nous a fait paniquer ces derniers jours ».

La mise de départ était de 0,00625 bitcoin, environ 500 dollars. Les dons des lecteurs de Hacker News l’ont portée à environ 2 000 dollars pendant la discussion : la prime a quadruplé sans trouver preneur.

PHP2Shell, une faille de quelle gravité ?

PHP fait tourner environ 69 % des sites web dont le langage serveur est connu, selon les relevés de W3Techs. Les deux failles, CVE-2026-109618 et CVE-2026-109619, sont notées 9,2 sur 10. Toutes deux permettent d’exécuter du code à distance.

Le 21 octobre, au lendemain de la fuite, l’équipe de PHP a publié ses correctifs (versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12). Son avis tranche : « mettre à jour est le seul choix sûr ». Elle juge le risque maximal avec le module Apache mod_php. Les failles ont été trouvées par des chercheurs de Calif et de Wiz, aidés de modèles d’intelligence artificielle dont GPT-5.6 Sol d’OpenAI.

Amazon a repéré des tentatives d’exploitation dès le 17 octobre, quatre jours avant les correctifs. Cloudflare en compte des millions depuis, rapporte le site The Register, qui ajoute qu’on ignore si elles auraient réussi contre de vrais systèmes.

Pourquoi personne n’a encore pris la prime ?

Déclencher la faille ne suffit pas pour lire la clé. Entre le 20 et le 22 octobre, les leurres de la société OffSeq ont vu neuf adresses, dans sept pays, tenter leur chance. Ces pots de miel captent le déclenchement, pas la prise de contrôle : transformer la corruption de mémoire en accès au serveur demande une préparation fine, requête après requête.

La configuration du serveur bloque aussi une technique observée par OffSeq : l’envoi de requêtes de 1 à 2 mégaoctets pour saturer la mémoire : elles butent sur le plafond de nginx. Pour un commentateur, cette configuration suffit à neutraliser les deux failles.

Pour d’autres, la somme est trop maigre : « Mettez 15 000 à 25 000 dollars et ce sera raflé aussitôt, sans doute sans même passer par PHP2Shell », parie l’un d’eux.

Dan Guido, patron de la société de sécurité Trail of Bits, y voit « un piège ». Il affirme que son équipe dispose d’un exploit fonctionnel, mais refuse de le montrer de peur qu’il ne fuite. Un autre lecteur doute que la clé soit seulement sur la machine.

Ce que ça change pour vous

Une prime intacte montre seulement qu’aucun exploit fiable contre ce serveur précis ne circule librement. En France, l’alerte du CERT-FR du 21 octobre range toutes les versions de PHP 5 à 8.1 parmi les touchées et recommande de les isoler, puis de migrer vers une version maintenue. Le 22 octobre, le CERT-FR a ajouté avoir connaissance de preuves de concept pour certains déploiements de PHP.

Article créé en collaboration avec l’IA.