PHP2Shellの公開競技で英国の開発者が突破　ビットコイン約2,000ドルを懸けた実証

※記事を視覚化したイメージであり、実際の事象とは異なります。

2026.10.27

本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]

The Registerによると、英国在住の開発者兼ペネトレーションテスター、ジェイディップ・モドワディア（26歳、通称Killa）が、PHP2Shellの公開実証競技「Steal My Bitcoin」で約2,000ドルの賞金を獲得した。本人は実証コードを公開したが、取得した秘密鍵は賞金アドレスに対応しておらず、賞金は主催者から別途送金された。

賞金獲得の経緯と、公開された実証の範囲

ジェームズ・パヴールが開催したこの競技は、PHP2Shellの脆弱性を実際のサーバーで悪用できるかを試すものだった。The Registerによると、主催者が誤ったウォレット秘密鍵をサーバーに置いていたため、賞金は主催者からモドワディアに送られた。取得した鍵を使って賞金を移動したわけではない。

競技サイトは2026年10月24日に開設され、攻略までの経過時間は19.28時間と表示された。ただし、当初のサイトは静的HTMLのみを提供しており、脆弱性の利用に必要なPHPページが10月25日13時頃（UTC）に追加されたとThe Registerは報じている。モドワディアは同紙の取材に、自身の作業時間は約3時間だったと説明した。

本人の公開資料には、10月25日15時47分38秒（UTC）に実サイトで実行した記録が記載されている。公開されたのは、競技で使用したリクエスト列を再現する単一ファイルのPython実証コードと説明資料だ。本人によると、メモリ不足の後に残る状態を利用してメモリ位置を取得し、PHP内部の後処理を通じてコマンド実行につなげる仕組みだという。

ただし、動作条件は限定されている。公開コードはAlpine版PHP 8.4.26の特定構成向けで、本人は、同じバージョン番号でもDebian版では配置が異なり、そのままでは動作しないと明記している。PHP公式は10月21日にPHP 8.4.27などのセキュリティ修正版を公開しており、競技に用いられた8.4.26は修正前のバージョンにあたる。

公開資料では、実サイトでの実行と、その後のローカル実験環境での再現を区別している。本人は実サイトで送信したHTTPリクエスト全体と応答ヘッダーの原記録を保存しておらず、後から再構成したことも明らかにした。主催者も、競技環境をローカルで再現するためのソースをGitHubで公開している。

Hudson RockのAlon GalはThe Registerに対し、今回の成功は標的固有の事例であり、自律型AIが任意のPHPサーバーを大規模に攻略できることを意味しないと指摘している。