{"id":70126,"date":"2026-10-26T18:30:00","date_gmt":"2026-10-26T21:30:00","guid":{"rendered":"https:\/\/jornal24horas.com.br\/?p=70126"},"modified":"2026-10-26T18:30:00","modified_gmt":"2026-10-26T21:30:00","slug":"desenvolvedor-demonstra-ataque-com-php2shell-e-vence-desafio-de-r-10-mil-em-bitcoin","status":"publish","type":"post","link":"https:\/\/jornal24horas.com.br\/?p=70126","title":{"rendered":"Desenvolvedor demonstra ataque com PHP2Shell e vence desafio de R$ 10 mil em Bitcoin"},"content":{"rendered":"

Um especialista em testes de seguran\u00e7a brit\u00e2nico ganhou um pr\u00eamio de US$ 2 mil em Bitcoin (cerca de R$ 10.900) ap\u00f3s demonstrar um ataque em um sistema com o exploit \u201cPHP2Shell\u201d. <\/b>O desafio de captura de bandeira (CTF, na sigla em ingl\u00eas) foi apelidado de \u201cSteal My Bitcoin\u201d<\/a> e criado pelo pesquisador James Pavur neste s\u00e1bado (24). A competi\u00e7\u00e3o buscava testar a facilidade real de invadir um servidor com essa falha<\/b>, segundo informa\u00e7\u00f5es do portal The Register<\/a>.<\/p>\n

Aos 26 anos, o desenvolvedor Jaydip Modhwadia, conhecido pelo apelido \u201cKilla\u201d, superou as barreiras de prote\u00e7\u00e3o e assumiu o controle do servidor de testes.<\/b> O site oficial do evento marcava que a invas\u00e3o ocorreu em 19 horas, por\u00e9m a oscila\u00e7\u00e3o da p\u00e1gina pelo excesso de acessos atrasou as tentativas. Contudo, ele confirmou, ao ve\u00edculo especializado, que o processo de invas\u00e3o levou cerca de tr\u00eas horas.<\/b><\/p>\n

Falhas de configura\u00e7\u00e3o no servidor<\/h2>\n

No in\u00edcio do teste, o pesquisador do canal LiveOverflow e usu\u00e1rios do f\u00f3rum Hacker News notaram um problema no site do desafio. A p\u00e1gina, servida em HTML est\u00e1tico, n\u00e3o possibilitava utilizar o m\u00e9todo \u2018PHP2Shell\u2019<\/b>. Como o ataque depende de um website capaz de servir arquivos PHP para funcionar, o criador da competi\u00e7\u00e3o precisou alter\u00e1-lo no domingo (25)<\/b>.<\/p>\n\n

\n
\n \"Reprodu\u00e7\u00e3o\/ChatGPT\"
Desenvolvedor brit\u00e2nico vence desafio e fatura U$ 2 mil em Bitcoin Foto: Reprodu\u00e7\u00e3o\/ChatGPT<\/figcaption><\/figure>\n<\/div>\n

Depois da mudan\u00e7a, Modhwadia conseguiu invadir o sistema \u00e0s 12h47 (hor\u00e1rio de Bras\u00edlia). O desenvolvedor criou um programa para burlar a seguran\u00e7a do servidor <\/b>e disponibilizou o passo a passo da solu\u00e7\u00e3o em reposit\u00f3rio no GitHub<\/a>.<\/p>\n

A entrega do pr\u00eamio envolveu um ajuste manual por parte do organizador devido a um erro no envio da chave da carteira digital. Depois da corre\u00e7\u00e3o, a comunidade de seguran\u00e7a cibern\u00e9tica adicionou recursos e elevou a recompensa inicial de US$ 500 para US$ 2 mil.<\/b><\/p>\n

Impactos reais e mitiga\u00e7\u00e3o em escala<\/h2>\n

Apesar do sucesso de Jaydip Modhwadia na competi\u00e7\u00e3o, especialistas alertam que o feito n\u00e3o significa que qualquer invasor consiga automatizar ataques em massa imediatamente<\/b>. O cofundador e diretor de tecnologia da empresa de ciberseguran\u00e7a Hudson Rock, Alon Gal, analisou o caso:<\/p>\n

\u201cIsso significa que agentes aut\u00f4nomos de IA agora podem comprometer servidores PHP arbitr\u00e1rios em escala? N\u00e3o. Esse foi um <\/b>exploit<\/b><\/i> sofisticado e espec\u00edfico para o alvo. Mas demonstra que o PHP2Shell pode ser usado como arma contra um alvo real<\/b>, mesmo com restri\u00e7\u00f5es t\u00e9cnicas significativas\u201d, ponderou o executivo, ao The Register<\/i>.<\/p>\n

A demonstra\u00e7\u00e3o do especialista brit\u00e2nico refor\u00e7a avalia\u00e7\u00f5es do setor de seguran\u00e7a digital. O diretor de desenvolvimento da empresa VulnCheck, Spencer McIntyre, declarou ao mesmo ve\u00edculo que criminosos dedicam tempo cont\u00ednuo para criar novas abordagens de ataque baseadas no PHP2Shell.<\/b><\/p>\n\n

\n

I got confirmation that the original version just had an index.html. So there never was any php code executed hahaha. <\/p>\n

But they added now an actual .php file (like 18h after they started the challenge. So the 21 hours without successful hack is misleading)
Now it should be\u2026 pic.twitter.com\/OoH90wrQ5T<\/a><\/p>\n

\u2014 LiveOverflow hextree.io (@LiveOverflow) October 25, 2026<\/a><\/p><\/blockquote>\n

Em publica\u00e7\u00e3o no <\/b>X<\/b><\/a> <\/b>(antigo Twitter<\/b>), o criador de conte\u00fado e pesquisador de seguran\u00e7a do canal LiveOverflow relatou ter acompanhado as etapas da competi\u00e7\u00e3o e notado a aus\u00eancia inicial de arquivos PHP no servidor de testes. A constata\u00e7\u00e3o confirmou que o atraso na resolu\u00e7\u00e3o do desafio ocorreu por problemas na infraestrutura da p\u00e1gina e n\u00e3o por inviabilidade do ataque.<\/b><\/p>\n

Ap\u00f3s receber o valor em criptomoeda, Modhwadia repassou parte da quantia para a Lupus Foundation, organiza\u00e7\u00e3o de apoio a pacientes com l\u00fapus. <\/b>O desenvolvedor confirmou, ao The Register,<\/i> que possui a condi\u00e7\u00e3o autoimune e decidiu destinar os recursos para incentivar pesquisas sobre o tema.<\/p>\n

Siga o TecMundo<\/b><\/a> no X<\/a>, Instagram<\/a>, Facebook<\/a> e YouTube<\/a> e assine a nossa newsletter<\/a> para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail. <\/p>\n

[[{“value”:”Um especialista em testes de seguran\u00e7a brit\u00e2nico ganhou um pr\u00eamio de US$ 2 mil em Bitcoin (cerca de R$ 10.900) ap\u00f3s demonstrar um ataque em um sistema com o exploit \u201cPHP2Shell\u201d. O desafio de captura de bandeira (CTF, na sigla em ingl\u00eas) foi apelidado de \u201cSteal My Bitcoin\u201d e criado pelo pesquisador James Pavur neste s\u00e1bado (24). A competi\u00e7\u00e3o buscava testar a facilidade real de invadir um servidor com essa falha, segundo informa\u00e7\u00f5es do portal The Register.Aos 26 anos, o desenvolvedor Jaydip Modhwadia, conhecido pelo apelido \u201cKilla\u201d, superou as barreiras de prote\u00e7\u00e3o e assumiu o controle do servidor de testes. O site oficial do evento marcava que a invas\u00e3o ocorreu em 19 horas, por\u00e9m a oscila\u00e7\u00e3o da p\u00e1gina pelo excesso de acessos atrasou as tentativas. Contudo, ele confirmou, ao ve\u00edculo especializado, que o processo de invas\u00e3o levou cerca de tr\u00eas horas.Falhas de configura\u00e7\u00e3o no servidor
\nNo in\u00edcio do teste, o pesquisador do canal LiveOverflow e usu\u00e1rios do f\u00f3rum Hacker News notaram um problema no site do desafio. A p\u00e1gina, servida em HTML est\u00e1tico, n\u00e3o possibilitava utilizar o m\u00e9todo \u2018PHP2Shell\u2019. Como o ataque depende de um website capaz de servir arquivos PHP para funcionar, o criador da competi\u00e7\u00e3o precisou alter\u00e1-lo no domingo (25).<\/p>\n

Desenvolvedor brit\u00e2nico vence desafio e fatura U$ 2 mil em Bitcoin Foto: Reprodu\u00e7\u00e3o\/ChatGPT<\/p>\n

Depois da mudan\u00e7a, Modhwadia conseguiu invadir o sistema \u00e0s 12h47 (hor\u00e1rio de Bras\u00edlia). O desenvolvedor criou um programa para burlar a seguran\u00e7a do servidor e disponibilizou o passo a passo da solu\u00e7\u00e3o em reposit\u00f3rio no GitHub.A entrega do pr\u00eamio envolveu um ajuste manual por parte do organizador devido a um erro no envio da chave da carteira digital. Depois da corre\u00e7\u00e3o, a comunidade de seguran\u00e7a cibern\u00e9tica adicionou recursos e elevou a recompensa inicial de US$ 500 para US$ 2 mil.Impactos reais e mitiga\u00e7\u00e3o em escala
\nApesar do sucesso de Jaydip Modhwadia na competi\u00e7\u00e3o, especialistas alertam que o feito n\u00e3o significa que qualquer invasor consiga automatizar ataques em massa imediatamente. O cofundador e diretor de tecnologia da empresa de ciberseguran\u00e7a Hudson Rock, Alon Gal, analisou o caso:\u201cIsso significa que agentes aut\u00f4nomos de IA agora podem comprometer servidores PHP arbitr\u00e1rios em escala? N\u00e3o. Esse foi um exploit sofisticado e espec\u00edfico para o alvo. Mas demonstra que o PHP2Shell pode ser usado como arma contra um alvo real, mesmo com restri\u00e7\u00f5es t\u00e9cnicas significativas\u201d, ponderou o executivo, ao The Register.A demonstra\u00e7\u00e3o do especialista brit\u00e2nico refor\u00e7a avalia\u00e7\u00f5es do setor de seguran\u00e7a digital. O diretor de desenvolvimento da empresa VulnCheck, Spencer McIntyre, declarou ao mesmo ve\u00edculo que criminosos dedicam tempo cont\u00ednuo para criar novas abordagens de ataque baseadas no PHP2Shell.I got confirmation that the original version just had an index.html. So there never was any php code executed hahaha. But they added now an actual .php file (like 18h after they started the challenge. So the 21 hours without successful hack is misleading)Now it should be\u2026 pic.twitter.com\/OoH90wrQ5T\u2014 LiveOverflow hextree.io (@LiveOverflow) October 25, 2026 Em publica\u00e7\u00e3o no X (antigo Twitter), o criador de conte\u00fado e pesquisador de seguran\u00e7a do canal LiveOverflow relatou ter acompanhado as etapas da competi\u00e7\u00e3o e notado a aus\u00eancia inicial de arquivos PHP no servidor de testes. A constata\u00e7\u00e3o confirmou que o atraso na resolu\u00e7\u00e3o do desafio ocorreu por problemas na infraestrutura da p\u00e1gina e n\u00e3o por inviabilidade do ataque.Ap\u00f3s receber o valor em criptomoeda, Modhwadia repassou parte da quantia para a Lupus Foundation, organiza\u00e7\u00e3o de apoio a pacientes com l\u00fapus. O desenvolvedor confirmou, ao The Register, que possui a condi\u00e7\u00e3o autoimune e decidiu destinar os recursos para incentivar pesquisas sobre o tema.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail.”}]]\u00a0\u00a0Ciberseguranca\u00a0Novidades do TecMundo | Estad\u00e3o\u00a0<\/p>","protected":false},"excerpt":{"rendered":"

Um especialista em testes de seguran\u00e7a brit\u00e2nico ganhou um pr\u00eamio de US$ 2 mil em Bitcoin (cerca de R$ 10.900) ap\u00f3s demonstrar um ataque em um sistema com o exploit \u201cPHP2Shell\u201d. O desafio de captura de bandeira (CTF, na sigla em ingl\u00eas) foi apelidado de \u201cSteal My Bitcoin\u201d e criado pelo pesquisador James Pavur neste […]<\/p>\n","protected":false},"author":1,"featured_media":70127,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[15],"tags":[],"class_list":["post-70126","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/70126","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=70126"}],"version-history":[{"count":0,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/70126\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/media\/70127"}],"wp:attachment":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=70126"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=70126"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=70126"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}