比推消息，安全研究员 killa（GitHub 用户名 KillaBoi）成功利用近期曝光的 PHP 高危漏洞 PHP2Shell（CVE-2026-109618 与 CVE-2026-109619），攻破公开悬赏网站 stealmybitcoin[.]com，并领取价值约 2021 美元的比特币奖金（0.02511679 BTC）。

据悉，10 月 20 日 PHP 核心远程代码执行漏洞曝光后，因公开可靠攻击代码迟迟未出现，有人于 10 月 24 日搭建该网站，故意使用未打补丁的 PHP 版本，并挂出约 500 美元比特币作为悬赏奖金，邀请黑客验证漏洞实际可攻击性。奖金后续因捐赠涨至约 2000 美元。挑战开始约 19.5 小时后，killa 编写出可用攻击代码，成功获取服务器上的私钥。网站创建者事后确认挑战被解决，并指出自身放置密钥存在失误，但承认攻击成功。killa 随后在 GitHub 公开了完整 PoC。