Открытая награда: почему быстрое обновление лучше надежды

Академия Starbound · Урок для всей семьи · Около 6 минут чтения

Совет: нажмите кнопку «🔍 Линза» внизу — и текст станет крупнее.

Примечание редакции: пост @IntCyberDigest («17 часов никто не взломал») устарел уже к моменту публикации. По более позднему сообщению (@heapsoverflow), ключ забрали около 11:47 по восточному времени США (ET) 25 октября 2026 года. Это сообщение исследователя; Академия не проверяла его независимо.

Что случилось — простыми словами

21 октября 2026 года команда PHP (Hypertext Preprocessor — язык, на котором работают очень многие сайты) выпустила срочные обновления против двух серьёзных ошибок. Их прозвали «PHP2Shell».
Ошибки получили номера CVE (Common Vulnerabilities and Exposures — общий список известных уязвимостей): CVE-2026-109618 и CVE-2026-109619. Оценка опасности по CVSS 4.0 (Common Vulnerability Scoring System — система оценки уязвимостей): 9.2 из 10, «критическая».
Один разработчик нарочно оставил сервер без обновления, спрятал на нём ключ от цифрового кошелька с наградой и бросил вызов: «Заберите, если сможете».
Подборка сообщила: «прошло 17 часов, награду никто не забрал». Многие решили, что угроза преувеличена.
Но исследователь сообщил, что всё-таки получил удалённое выполнение кода (RCE — Remote Code Execution) и добрался до ключа. Вывод: «пока никто не смог» — это не защита, а просто вопрос времени.

Юные защитники 🛡️

Представь сундук с призом и дверь со сломанным замком. Мастер уже принёс новый замок, но хозяин сказал: «Подожду, вдруг никто не заметит».
Сначала все пробовали и не могли. Хозяин радовался.
А потом один упорный искатель нашёл способ — и сундук открыт!
Наше правило: пришло обновление — ставим сразу. Новый замок лучше надежды!
Игра: посмотри через «линзу защитника» на свой планшет или телефон. Есть ли там кнопка «Обновить»? Попроси взрослого нажать её вместе с тобой.

Средняя группа: почти профи 🔧

Окно уязвимости. Время между выходом исправления и его установкой — это окно для атакующих. После публикации исправления злоумышленники сравнивают старый и новый код и быстро находят ошибку.
Почему сначала «не получалось». Сложные ошибки работы с памятью (use-after-free — «использование памяти после освобождения») срабатывают не всегда и зависят от настроек сервера. Неудачные попытки — не доказательство безопасности.
Цифры риска. EPSS (Exploit Prediction Scoring System — система прогноза эксплуатации) даёт этим ошибкам около 0,9998 и 0,99997 — то есть почти наверняка их будут использовать. При этом их пока нет в каталоге KEV (Known Exploited Vulnerabilities — известные эксплуатируемые уязвимости) агентства CISA (Cybersecurity and Infrastructure Security Agency). «Нет в каталоге» не значит «безопасно».
Ещё одна ошибка. Для CVE-2026-115560 в выпусках 21 октября исправления нет — следите за следующими обновлениями.
Что делать защитнику:
1. Составить список всех систем с PHP.
2. Обновить до 8.5.12, 8.4.27, 8.3.36 или 8.2.35; версии 8.1 и старше — переход на поддерживаемую версию.
3. Перезапустить рабочие процессы, чтобы реально работала новая версия.
4. Следить за подозрительными процессами, которые запускает веб-сервер.
Хочешь понять, как устроены такие системы изнутри? Загляни в модуль «Сделай сам».

Старшие: мудрость и ответственность 📜

Эта история — о соблазне откладывать. Исправление уже было в руках, но решили проверить, «а вдруг обойдётся».
Писание говорит прямо:
«Благоразумный видит беду, и укрывается; а неопытные идут вперед, и наказываются.» — Притчи 22:3 (Синодальный перевод)
Благоразумие в цифровом мире — это своевременное обновление, резервные копии и внимательность к предупреждениям.
Помогите близким: проверьте вместе, включены ли автоматические обновления на их устройствах.

Главное

Быстрое обновление закрывает дверь до того, как кто-то найдёт ключ.
«Никто ещё не взломал» — не то же самое, что «безопасно».
Защищать — значит действовать заранее. Вы справитесь! 💪

Источники

Пост в X International Cyber Digest @IntCyberDigest 25 окт. 2026, 12:05 ET
Подборка сообщила: сервер без обновления с ключом-наградой «17 часов никто не взломал».
“A developer hid a Bitcoin key on a PHP server left unpatched against PHP2Shell, the critical flaws fixed on Oct 21, and dared anyone to steal it. 17 hours on, the wallet holds ~$2,000 and nobody has taken it.”
Проверено вживую: 26 окт. 2026 Открыть в X ↗
Пост в X heapsoverflow @heapsoverflow 25 окт. 2026, 14:38 ET
Исследователь сообщает, что всё-таки взломал сервер-приманку самодельным эксплойтом PHP2Shell.
“After struggling a lot, finally pwned […] with the latest PHP2Shell hand-made exploit. It was quite tricky to get it working.”
Проверено вживую: 26 окт. 2026 Открыть в X ↗

С заботой, команда Starbound

The open bounty: why patching fast beats hoping

Starbound Academy · A lesson for the whole family · About 6 minutes of reading

Tip: tap the 🔍 Lens button at the bottom to make text bigger.

Editor’s note: the @IntCyberDigest post (“17 hours on, nobody has taken it”) was already out of date when it went out. A later report (@heapsoverflow) says the key was claimed around 11:47 AM ET (US Eastern Time) on Oct 25, 2026. This is reported by the researcher; the Academy has not independently verified it.

What happened, in plain words

On October 21, 2026, the PHP team (PHP: Hypertext Preprocessor, the language behind a huge share of websites) shipped urgent fixes for two serious flaws nicknamed “PHP2Shell”.
They are tracked as CVE (Common Vulnerabilities and Exposures) entries CVE-2026-109618 and CVE-2026-109619, scored 9.2 out of 10, “Critical”, on CVSS 4.0 (Common Vulnerability Scoring System).
A developer deliberately left a server unpatched, hid the key to a digital wallet with a reward on it, and dared anyone to take it.
A curated post said: “17 hours on, nobody has taken it.” Many people concluded the danger was overhyped.
But a researcher reported achieving RCE (Remote Code Execution) and reaching the key. The takeaway: “nobody has done it yet” is not protection; it is only a matter of time.

Young Defenders 🛡️

Picture a treasure chest behind a door with a broken lock. The locksmith already brought a new lock, but the owner said, “I’ll wait; maybe nobody will notice.”
At first, everyone tried and failed. The owner cheered.
Then one patient explorer found a way, and the chest was open!
Our rule: when an update arrives, we install it right away. A new lock beats hoping!
Game: look at your tablet or phone through your “defender’s lens.” Is there an “Update” button? Ask a grown-up to press it with you.

Mid group: semi-pro 🔧

The exposure window. The time between a fix being published and being installed is a window for attackers. Once a fix is public, attackers compare old and new code to find the bug fast.
Why it “didn’t work” at first. Memory bugs such as use-after-free are unreliable and depend on server setup. Failed attempts are not proof of safety.
Risk numbers. EPSS (Exploit Prediction Scoring System) puts these flaws at about 0.9998 and 0.99997, meaning exploitation is nearly certain. They are not (yet) in the KEV (Known Exploited Vulnerabilities) catalog of CISA (Cybersecurity and Infrastructure Security Agency). “Not in the catalog” does not mean “safe.”
One more flaw. CVE-2026-115560 has no fix in the October 21 releases, so watch for the next updates.
Defender checklist:
1. Inventory every system running PHP.
2. Update to 8.5.12, 8.4.27, 8.3.36 or 8.2.35; on 8.1 or older, move to a supported version.
3. Restart worker processes so the new build is really running.
4. Watch for web-server processes launching shells or downloading tools.
Curious how systems like this work inside? Visit the Build It Yourself module.

Elders: wisdom and stewardship 📜

This story is about the temptation to put things off. The fix was already in hand, yet someone waited to see “if it would be fine.”
Scripture speaks plainly:
“A prudent man foreseeth the evil, and hideth himself: but the simple pass on, and are punished.” (Proverbs 22:3, KJV)
Prudence in the digital world means timely updates, backups and paying attention to warnings.
Help your loved ones: check together that automatic updates are turned on.

Key takeaways

Patching fast shuts the door before anyone finds the key.
“Nobody has broken in yet” is not the same as “safe.”
Defending means acting early. You’ve got this! 💪

Sources

X post International Cyber Digest @IntCyberDigest Oct 25, 2026, 12:05 PM ET
A curated post reported the unpatched bait server with a reward key: “17 hours on, nobody has taken it.”
“A developer hid a Bitcoin key on a PHP server left unpatched against PHP2Shell, the critical flaws fixed on Oct 21, and dared anyone to steal it. 17 hours on, the wallet holds ~$2,000 and nobody has taken it.”
Verified live: Oct 26, 2026 Open on X ↗
X post heapsoverflow @heapsoverflow Oct 25, 2026, 2:38 PM ET
A researcher reports finally breaking into the bait server with a hand-made PHP2Shell exploit.
“After struggling a lot, finally pwned […] with the latest PHP2Shell hand-made exploit. It was quite tricky to get it working.”
Verified live: Oct 26, 2026 Open on X ↗

With care, the Starbound team