TL;DR: Ipinahayag ng PHP ang mga pagpapabuti para sa dalawang mahalagang kahinaan noong Oktubre 21 at inanyayahan ang agad na pag-update. Dapat suriin ng mga kripto na negosyo na gumagamit ng PHP-based na web infrastructure ang nasabing layer ng kanilang mga sistema; ang abiso ay hindi nagpapahayag ng paglabas sa bitcoin o BTCPay Server mismo.
Hindi nagtatapos ang seguridad para sa isang crypto business sa kanyang wallet. Isang mahalagang pag-update sa PHP ang nagbalik sa operational agenda ng karaniwang web-server software.
Ang PHP project’s October 21 advisory ay nagtatangi ng dalawang vulnerabilities na maaaring magbigay-daan sa unauthenticated remote code execution. Ang mga fixed upstream releases ay ang PHP 8.5.12, 8.4.27, 8.3.36 at 8.2.35. Malakas na iniihik ng proyekto na mag-update agad ang mga gumagamit na apektado.
Nagsasabi ito na ang mga instalasyon na naglilingkod sa mga web request ay nasa panganib at binabanggit ang Apache mod_php configuration bilang partikular na eksposed. Maaaring magbigay ang mga vendor ng distribusyon ng mga patched package, kaya ang angkop na solusyon ay nakadepende kung paano isinuplay at pinapanatili ang software.
Ang isang payment stack ay naglalaman ng higit pa kaysa sa payment processor nito
Ang koneksyon sa crypto commerce ay praktikal. BTCPay Server’s official documentation ay nagpapaliwanag kung paano makakonekta ang mga merchant sa payment system nito sa WooCommerce, kasama ang mga pag-aayos na may kaugnayan sa isang umiiral na tindahan o deployed store environment.
Mayroong ilang komponente na dapat pangalagaan ng isang merchant na gumagamit ng kombinasyong iyon. Ang checkout website, ang mga plugin nito, ang hosting environment at ang payment service ay may sariling mga responsibilidad. Ang pag-update ng isang komponente ay hindi nangangahulugan na ang lahat ng iba pang bahagi ng stack ay na-patch na.
Ang PHP advisory ay tungkol sa pag-handle ng runtime sa mga web request. Hindi ito ebidensya na nasira ang protokolo ng Bitcoin, at hindi ito sa sarili nito ay nagtataglay ng isang kahinaan sa core software ng BTCPay Server.
Nagbibigay ito ng dahilan para sa mga administrator at hosting provider na suriin kung gumagamit ang anumang konektadong storefront o serbisyo ng naaapektuhandong PHP installation. Ang kaugnay na pagkakatotoo ay ang running environment ay naglalaman ng fix, hindi lamang ang pag-update ng application plugin.
Sundin ang pagpapabuti ng tagapagpanatili
Ang gabay ng PHP team ay ang awtoritatibong simula para sa pagpapabuti at detalye batay sa bersyon. Kailangan ng partikular na pagpapansin ang mga hindi suportadong pag-install para sa suporta mula sa vendor o paglipat sa isang pinapanatili na bersyon.
Hindi natutukoy ng abiso ang anumang haka-haka tungkol sa mga perang mula sa mga customer na nasakop o ang kompromiso ng isang tiyak na kripto na kumpanya. Ang agad na balita ay ang paglalabas ng mga mahahalagang pagpapabuti para sa imprastruktura na maaaring maging pundasyon ng isang kripto na karanasan sa pagbabayad.