ข่าว 
ข้อมูลเหรียญ 
แนะนำสื่อ 
นักวิจัยด้านความปลอดภัยเจาะเซิร์ฟเวอร์ PHP และดึงคีย์ส่วนตัวของ Bitcoin(BTC) ที่จัดเก็บไว้ได้ในการทดลองแฮ็กที่เปิดเผยต่อสาธารณะ การโจมตีสำเร็จหลังผู้ดูแลเพิ่มหน้า PHP ที่เข้าถึงได้ โดยใช้เวลาประมาณ 2 ชั่วโมง 47 นาที แต่ Bitcoin ไม่ถูกขโมย เพราะคีย์ที่ดึงออกมาไม่ตรงกับคีย์ของกระเป๋ารางวัล
CryptoSlate รายงานว่า นักวิจัยด้านความปลอดภัยที่ใช้ชื่อออนไลน์ว่า Killa เจาะเซิร์ฟเวอร์ได้ในการทดลอง “Steal My Bitcoin” โดย James Pavur ผู้ดูแลการทดลองยืนยันการบุกรุกจากบันทึกของเซิร์ฟเวอร์
การทดลองจัดขึ้นเพื่อทดสอบว่า ช่องโหว่ PHP 2 รายการที่เปิดเผยเมื่อวันที่ 21 (CVE-2026-109618 และ CVE-2026-109619) สามารถถูกใช้โจมตีเซิร์ฟเวอร์จริงได้หรือไม่ ช่องโหว่ทั้งสองอาจเปิดทางให้บุคคลภายนอกรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ที่ได้รับผลกระทบ จึงก่อให้เกิดข้อกังวลด้านความปลอดภัย
การตั้งค่าเริ่มต้นทำให้ผู้โจมตีเข้าถึงฟังก์ชันที่มีช่องโหว่ได้ยาก ตอนแรก Pavur ใช้เว็บเซิร์ฟเวอร์ในตัวของ PHP เพื่อให้บริการเฉพาะหน้า HTML ทั่วไป และเซิร์ฟเวอร์ยังไม่เสถียรจากคำขอเชื่อมต่อที่หลั่งไหลเข้ามา นักวิจัยด้านความปลอดภัยชี้ว่า การตั้งค่าเช่นนี้เพียงอย่างเดียวยังไม่เพียงพอที่จะประเมินความเสี่ยงของช่องโหว่
Pavur เพิ่มหน้า PHP ที่เข้าถึงได้เมื่อเวลาประมาณ 22.00 น. ของวันที่ 25 ส่วน Killa รันโค้ดบนเซิร์ฟเวอร์สำเร็จเมื่อเวลา 00:47:38 น. ของวันที่ 26 หรือประมาณ 2 ชั่วโมง 47 นาทีหลังเปิดฟังก์ชันที่จำเป็นต่อการโจมตี ไม่ใช่นับจากเวลาเริ่มการทดลองทั้งหมด
หลังจากนั้น Killa เผยแพร่เอกสารสาธิตวิธีทำซ้ำการโจมตีบน GitHub เอกสารระบุขั้นตอนการดึงคีย์ส่วนตัวจากการตอบกลับของเซิร์ฟเวอร์ และผลการจำลองการโจมตีในสภาพแวดล้อมทดลองแยกต่างหาก Killa ระบุว่าไม่ได้เก็บคำขอและส่วนหัวการตอบกลับทั้งหมดที่มีการรับส่งระหว่างการโจมตีจริงไว้
การทดลองนี้ดึงคีย์ส่วนตัวออกมาได้ แต่ไม่สามารถย้าย Bitcoin ในกระเป๋ารางวัลได้ เพราะคีย์ที่ Pavur เก็บไว้บนเซิร์ฟเวอร์ไม่ใช่คีย์ส่วนตัวของที่อยู่ที่เก็บเงินรางวัล Pavur ยอมรับว่าการทดลองประสบความสำเร็จ และจ่าย Bitcoin มูลค่าประมาณ 2,000 ดอลลาร์ (ราว 2.65 ล้านวอน) แยกต่างหาก
ก่อนหน้านี้มีรายงานว่าช่องโหว่ PHP 2 รายการอาจเปิดให้รันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ได้โดยไม่ต้องยืนยันตัวตน การรันโค้ดจากระยะไกลเป็นการโจมตีที่เปิดทางให้บุคคลภายนอกสั่งงานบนเซิร์ฟเวอร์ และข้อมูลที่จัดเก็บอยู่ในเซิร์ฟเวอร์อาจตกเป็นเป้าหมายได้
คีย์ส่วนตัวเป็นข้อมูลยืนยันตัวตนที่ใช้ควบคุมเงินในกระเป๋า Bitcoin เหตุการณ์นี้เป็นกรณีการบุกรุกและดึงคีย์ส่วนตัวจากเซิร์ฟเวอร์ PHP เฉพาะเครื่องที่มีการเปลี่ยนการตั้งค่า ข้อมูลที่เปิดเผยต่อสาธารณะยังไม่เพียงพอที่จะตัดสินว่า AI ปฏิบัติการโจมตีได้ด้วยตนเองหรือไม่
ความคิดเห็น 0