Un repte públic confirma que la vulnerabilitat PHP2Shell es pot explotar, però només un de desenes de milers d'atacants ho aconsegueix
Un investigador de seguretat va posar a internet un servidor PHP vulnerable amb la clau d'una cartera de 500 dòlars en bitcoins. Desenes de milers de persones ho van provar, sovint amb ajuda d'IA, però només una va extreure la clau, amb un atac adaptat a la configuració concreta del servidor.
James Pavur, investigador de seguretat ofensiva, va voler comprovar si PHP2Shell, una vulnerabilitat crítica de PHP que permet executar codi a distància, era tan perillosa com deia la premsa. Va llogar un servidor virtual barat, hi va instal·lar una web en PHP i hi va deixar un fitxer amb la clau d'una cartera amb 500 dòlars en bitcoins. Després va publicar el repte a Hacker News.
En deu hores amb registres fiables, uns 20.000 IP diferents hi van interactuar de manera substancial i el servidor va rebre més de 13 milions de peticions. Hi va haver unes 2.075 fallades de segmentació de PHP, però només dues adreces van aconseguir executar el binari que llegia la clau, i només una en va extreure el contingut. El guanyador va fer servir un atac fet a mida per a la configuració del servidor i desenvolupat amb ajuda d'IA. Com que la clau exportada no permetia moure els fons, l'autor li va transferir el premi directament.
La conclusió de Pavur és doble: PHP2Shell és explotable de veritat i cal aplicar el pedaç, però un atacant poc expert amb un model de llenguatge encara no converteix una vulnerabilitat difícil en una eina d'atac fiable.