Um especialista em testes de segurança britânico ganhou um prêmio de US$ 2 mil em Bitcoin (cerca de R$ 10.900) após demonstrar um ataque em um sistema com o exploit “PHP2Shell”. O desafio de captura de bandeira (CTF, na sigla em inglês) foi apelidado de “Steal My Bitcoin” e criado pelo pesquisador James Pavur neste sábado (24). A competição buscava testar a facilidade real de invadir um servidor com essa falha, segundo informações do portal The Register.Aos 26 anos, o desenvolvedor Jaydip Modhwadia, conhecido pelo apelido “Killa”, superou as barreiras de proteção e assumiu o controle do servidor de testes. O site oficial do evento marcava que a invasão ocorreu em 19 horas, porém a oscilação da página pelo excesso de acessos atrasou as tentativas. Contudo, ele confirmou, ao veículo especializado, que o processo de invasão levou cerca de três horas.Falhas de configuração no servidorNo início do teste, o pesquisador do canal LiveOverflow e usuários do fórum Hacker News notaram um problema no site do desafio. A página, servida em HTML estático, não possibilitava utilizar o método ‘PHP2Shell’. Como o ataque depende de um website capaz de servir arquivos PHP para funcionar, o criador da competição precisou alterá-lo no domingo (25). Desenvolvedor britânico vence desafio e fatura U$ 2 mil em Bitcoin Foto: Reprodução/ChatGPT Depois da mudança, Modhwadia conseguiu invadir o sistema às 12h47 (horário de Brasília). O desenvolvedor criou um programa para burlar a segurança do servidor e disponibilizou o passo a passo da solução em repositório no GitHub.A entrega do prêmio envolveu um ajuste manual por parte do organizador devido a um erro no envio da chave da carteira digital. Depois da correção, a comunidade de segurança cibernética adicionou recursos e elevou a recompensa inicial de US$ 500 para US$ 2 mil.Impactos reais e mitigação em escalaApesar do sucesso de Jaydip Modhwadia na competição, especialistas alertam que o feito não significa que qualquer invasor consiga automatizar ataques em massa imediatamente. O cofundador e diretor de tecnologia da empresa de cibersegurança Hudson Rock, Alon Gal, analisou o caso:“Isso significa que agentes autônomos de IA agora podem comprometer servidores PHP arbitrários em escala? Não. Esse foi um exploit sofisticado e específico para o alvo. Mas demonstra que o PHP2Shell pode ser usado como arma contra um alvo real, mesmo com restrições técnicas significativas”, ponderou o executivo, ao The Register.A demonstração do especialista britânico reforça avaliações do setor de segurança digital. O diretor de desenvolvimento da empresa VulnCheck, Spencer McIntyre, declarou ao mesmo veículo que criminosos dedicam tempo contínuo para criar novas abordagens de ataque baseadas no PHP2Shell.I got confirmation that the original version just had an index.html. So there never was any php code executed hahaha. But they added now an actual .php file (like 18h after they started the challenge. So the 21 hours without successful hack is misleading)Now it should be… pic.twitter.com/OoH90wrQ5T— LiveOverflow hextree.io (@LiveOverflow) October 25, 2026 Em publicação no X (antigo Twitter), o criador de conteúdo e pesquisador de segurança do canal LiveOverflow relatou ter acompanhado as etapas da competição e notado a ausência inicial de arquivos PHP no servidor de testes. A constatação confirmou que o atraso na resolução do desafio ocorreu por problemas na infraestrutura da página e não por inviabilidade do ataque.Após receber o valor em criptomoeda, Modhwadia repassou parte da quantia para a Lupus Foundation, organização de apoio a pacientes com lúpus. O desenvolvedor confirmou, ao The Register, que possui a condição autoimune e decidiu destinar os recursos para incentivar pesquisas sobre o tema.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.