TL;DR : PHP a publié des correctifs pour deux failles critiques le 21 octobre et a encouragé des mises à jour immédiates. Les entreprises de crypto utilisant une infrastructure web basée sur PHP doivent vérifier cette couche de leurs systèmes ; l'avis n'annonce pas une violation de Bitcoin ou de BTCPay Server lui-même.
Le travail de sécurité pour une entreprise de crypto ne s'arrête pas à son wallet. Une mise à jour PHP critique a remis les logiciels de serveur web ordinaires à l'ordre du jour opérationnel.
L'avis du projet PHP du 21 octobre identifie deux vulnérabilités permettant une exécution de code à distance non authentifiée. Les versions corrigées disponibles en amont sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le projet encourage fortement les utilisateurs concernés à effectuer une mise à jour immédiate.
Il est indiqué que les installations servant les requêtes web sont à risque et souligne que la configuration Apache mod_php est particulièrement exposée. Les éditeurs de distributions peuvent fournir des paquets corrigés, donc la solution appropriée dépend de la manière dont le logiciel est fourni et maintenu.
Une pile de paiement contient plus que son processeur de paiement
La connexion au commerce cryptographique est pratique. BTCPay Server’s official documentation explique comment les Merchant peuvent connecter son système de paiement à WooCommerce, y compris les arrangements impliquant une boutique existante ou un environnement de boutique déployé.
Un Merchant utilisant cette combinaison doit gérer plusieurs composants. Le site de paiement, ses plugins, l’environnement d’hébergement et le service de paiement ont des responsabilités distinctes. Mettre à jour un composant ne garantit pas que toutes les autres parties de la pile ont été corrigées.
L'avis PHP concerne la gestion des requêtes web au moment de l'exécution. Il ne constitue pas une preuve que le protocole bitcoin a été compromis, et il ne permet pas à lui seul d'identifier une faille dans le logiciel principal de BTCPay Server.
Il fournit une raison pour que les administrateurs et les fournisseurs d'hébergement vérifient si un quelconque magasin en ligne ou service connecté utilise une installation PHP concernée. La confirmation pertinente est que l'environnement d'exécution contient le correctif, et non simplement qu'un plugin d'application a été mis à jour.
Suivez la correction du mainteneur
Les conseils de l'équipe PHP constituent le point de départ autorisé pour la correction et les détails spécifiques à la version. Les installations non prises en charge nécessitent une attention particulière à l'assistance du fournisseur ou à la migration vers une version maintenue.
Aucune allégation concernant le vol de fonds clients ou la compromission d'une entreprise de crypto spécifique n'est établie par cet avis. L'actualité immédiate est la publication de correctifs essentiels pour l'infrastructure qui peut sous-tendre une expérience de paiement en crypto.