網站放真錢實測漏洞防禦力
整個事件起源於 2026 年 10 月 21 日 PHP 官方緊急推出嘅安全性修正，修補兩個被評分嘅高危漏洞。相由於漏洞被視為近年最嚴重嘅架構問題之一，域名 stealmybitcoin.com 喺 10 月 23 日註冊，並於 10 月 24 日左右正式上線。創辦人 James Pavur 隨後以「cloudlandsdev」名義喺發布挑戰，到底有冇人能夠喺現實中真正將呢個漏洞武器化。挑戰伺服器運行未修補嘅 PHP 8.4.26 版本，系統入面嘅比特幣私鑰透過一個名為 `print-flag` 嘅 binary 設定為 PHP 用戶可讀取，任何人只要成功奪取伺服器控制權並轉移資產就算勝出。賞金最初由約 0.006 至 0.012 BTC（折合約 500 至 1,000 美元）起步，後來經外界捐款累積至約 0.025 BTC（約 2,000 美元）。今次公開安全實驗以實質金錢獎勵同實時系統作為驗證平台，客觀反映出 PHP2Shell 漏洞喺受限條件下確實具備實戰攻擊能力，並非單純停留在理論層面。勝出者公開嘅攻擊鏈細節，亦為各系統管理員及資安團隊提供具體參考依據，反映出及時更新 PHP 官方補丁版本（8.2.35、8.3.36、8.4.27 及 8.5.12）嘅實際迫切性。