PHP xâm nhập máy chủ, trích xuất khóa riêng Bitcoin nhưng không lấy được tiền thưởng

Một nhà nghiên cứu bảo mật đã xâm nhập máy chủ PHP trong thử nghiệm hack công khai và trích xuất khóa riêng Bitcoin (BTC) được lưu trên máy chủ. Cuộc tấn công thành công sau khoảng 2 giờ 47 phút kể từ khi quản trị viên thêm một trang PHP có thể truy cập, nhưng Bitcoin không bị lấy đi vì khóa trích xuất không phải khóa của ví tiền thưởng.

CryptoSlate đưa tin nhà nghiên cứu bảo mật hoạt động trực tuyến với tên Killa đã xâm nhập máy chủ trong thử nghiệm “Steal My Bitcoin”. Người vận hành thử nghiệm, James Pavur, xác nhận vụ xâm nhập qua nhật ký máy chủ.

Thử nghiệm nhằm kiểm tra khả năng khai thác trên máy chủ thực tế của hai lỗ hổng PHP được công bố ngày 21 (CVE-2026-109618 và CVE-2026-109619). Hai lỗ hổng này có thể cho phép người bên ngoài thực thi mã từ xa trên các máy chủ bị ảnh hưởng, làm dấy lên lo ngại về bảo mật.

Ở cấu hình ban đầu, kẻ tấn công khó tiếp cận các chức năng dễ bị khai thác. Ban đầu, Pavur chỉ dùng máy chủ web tích hợp của PHP để cung cấp các trang HTML thông thường; lượng yêu cầu truy cập dồn dập cũng khiến máy chủ hoạt động không ổn định. Các nhà nghiên cứu bảo mật cho rằng chỉ với cấu hình này thì khó đánh giá mức độ rủi ro của lỗ hổng.

Khoảng 22 giờ ngày 25, Pavur thêm một trang PHP có thể truy cập. Killa thực thi mã thành công trên máy chủ lúc 0 giờ 47 phút 38 giây ngày 26. Tính từ khi chức năng cần thiết cho cuộc tấn công được mở, vụ xâm nhập thành công sau khoảng 2 giờ 47 phút, chứ không phải tính từ lúc toàn bộ thử nghiệm bắt đầu.

Sau đó, Killa đăng tài liệu hướng dẫn tái hiện cuộc tấn công lên GitHub. Tài liệu mô tả quá trình lấy khóa riêng từ phản hồi của máy chủ và kết quả tái hiện cuộc tấn công trong một môi trường thử nghiệm riêng. Killa cho biết không lưu lại đầy đủ nội dung các yêu cầu và phần phản hồi đã trao đổi trong cuộc tấn công thực tế.

Thử nghiệm trích xuất được khóa riêng nhưng không chuyển số Bitcoin trong ví tiền thưởng. Khóa Pavur lưu trên máy chủ khác với khóa riêng của địa chỉ chứa tiền thưởng. Pavur xác nhận thử nghiệm thành công và trả riêng số Bitcoin trị giá khoảng 2.000 USD (khoảng 2,65 triệu won).

Trước đó, TokenPost đã đưa tin hai lỗ hổng PHP có thể cho phép thực thi mã từ xa trên máy chủ mà không cần xác thực. Thực thi mã từ xa là dạng tấn công trong đó kẻ bên ngoài chạy lệnh trên máy chủ; thông tin lưu trữ tại đó có thể trở thành mục tiêu.

Khóa riêng là thông tin xác thực kiểm soát tài sản trong ví Bitcoin. Thử nghiệm này là một trường hợp xâm nhập và trích xuất khóa riêng trên một máy chủ PHP cụ thể sau khi cấu hình được thay đổi. Các hồ sơ đã công bố chưa đủ để xác định liệu trí tuệ nhân tạo (AI) có tự thực hiện cuộc tấn công hay không.