« Steal My Bitcoin » : un pentester empoche 2 000 dollars en BTC en exploitant PHP2Shell

Encyclopédie du Coin Améliorez vos connaissances sur les cryptos

Un coffre-fort avec la porte ouverte, exprès. Samedi 24 octobre, le chercheur en sécurité James Pavur a mis en ligne un serveur volontairement vulnérable aux failles PHP2Shell avec un wallet bitcoin dedans et une consigne tenant en trois mots, volez mon bitcoin. Dix-neuf heures plus tard, un pentester de 26 ans installé au Royaume-Uni repartait avec les clés.

La communauté a fait grimper la prime de 500 à 2 000 dollars en un week-end et le vainqueur en reverse une partie à une association de malades du lupus. Le processus cher à Schneier a pris ici trois heures de travail effectif.

Offre exclusive JDC : jusqu'au 30 octobre 2026, ouvrez votre compte Finst et recevez 50 € en Bitcoin ! Créer un compte Finst en 5 minutes Lien commercial

Le principe d’un bug bounty classique passe par une plateforme, un formulaire et un comité qui juge la gravité avant de payer. Pavur a supprimé tout ça. Un serveur, une faille connue, une adresse bitcoin : le premier qui exécute du code sur la machine se sert lui-même. Le paiement est la preuve, et la blockchain fait office de procès-verbal.

La mécanique a séduit. D’après The Register , la mise initiale de 500 dollars a été quadruplée par la communauté, pour atteindre 2 000 dollars, soit environ 0,025 bitcoin au cours de ce mercredi 28 octobre vers 80 500 dollars.

Le gagnant s’appelle Jaydip Modhwadia , développeur et pentester installé au Royaume-Uni, connu sous le pseudonyme Killa. Le compteur du site affiche « My Bitcoin was stolen after 19.28 hours », mais l’intéressé relativise : il a travaillé « trois heures environ au total ». Pavur avait ajouté un point d’entrée PHP dont l’exploit avait besoin vers 13h UTC le 25 octobre, et l’exécution de code à distance est tombée à 15h47 UTC.

Sa charge utile tient dans un fichier Python unique et « vingt requêtes HTTP au maximum ». Le script contourne surtout l’ASLR, la protection qui mélange aléatoirement les adresses mémoire d’un programme pour compliquer la vie des attaquants. Le code est public sur GitHub.

Modhwadia a annoncé qu’il reverserait une partie du gain à la Lupus Foundation, qui lutte contre le lupus, une maladie auto-immune dont il souffre lui-même. En 2021, le hacker de Poly Network avait remis en jeu sa prime de 500 000 dollars après avoir rendu 610 millions, pour qui ferait mieux que lui.

Les deux failles, CVE-2026-109618 et CVE-2026-109619, touchent toutes les versions de PHP depuis la 5.4, autrement dit le moteur d’une bonne partie du web mondial. D’après Brian Krebs , Censys recensait 2,58 millions d’hôtes exposés et 54,9 millions de propriétés web sous PHP au moment des correctifs d’urgence du 21 octobre.