TL;DR: PHP merilis perbaikan untuk dua kelemahan kritis pada 21 Oktober dan mendesak pembaruan segera. Bisnis kripto yang menggunakan infrastruktur web berbasis PHP harus memeriksa lapisan tersebut dalam sistem mereka; peringatan ini tidak mengumumkan pelanggaran terhadap Bitcoin atau BTCPay Server itu sendiri.
Pekerjaan keamanan untuk bisnis kripto tidak berakhir di dompetnya. Pembaruan PHP kritis telah mengembalikan perangkat lunak server web biasa ke agenda operasional.
Pengumuman proyek PHP pada 21 Oktober mengidentifikasi dua kerentanan yang dapat memungkinkan eksekusi kode jarak jauh tanpa otentikasi. Rilis perbaikan di hulu adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Proyek ini sangat mendorong pengguna yang terdampak untuk segera memperbarui.
Dikatakan bahwa instalasi yang melayani permintaan web berisiko, dan menyoroti konfigurasi Apache mod_php sebagai yang sangat rentan. Pemasok distribusi mungkin menyediakan paket yang telah diperbaiki, sehingga solusi yang berlaku tergantung pada cara perangkat lunak disediakan dan dipelihara.
Sebuah Stack Pembayaran Berisi Lebih dari Prosesor Pembayarnya
Koneksi ke perdagangan kripto bersifat praktis. BTCPay Server’s official documentation menjelaskan bagaimana merchant dapat menghubungkan sistem pembayaran nya ke WooCommerce, termasuk pengaturan yang melibatkan toko yang sudah ada atau lingkungan toko yang telah dideploy.
Seorang merchant yang menggunakan kombinasi tersebut memiliki beberapa komponen yang harus dipertahankan. Situs checkout, plugin-pluginnya, lingkungan hosting, dan layanan pembayaran memiliki tanggung jawab yang berbeda. Memperbarui satu komponen tidak menjamin bahwa setiap bagian lain dari stack telah diperbaiki.
Advisory PHP membahas penanganan permintaan web saat runtime. Ini bukan bukti bahwa protokol bitcoin telah dikompromikan, dan tidak secara sendirian mengidentifikasi kelemahan dalam perangkat lunak inti BTCPay Server.
Ini memberikan alasan bagi administrator dan penyedia hosting untuk memeriksa apakah ada toko daring atau layanan terhubung yang menggunakan instalasi PHP yang terdampak. Konfirmasi yang relevan adalah bahwa lingkungan yang berjalan sudah mengandung perbaikan, bukan hanya karena plugin aplikasi diperbarui.
Ikuti Perbaikan oleh Pemelihara
Panduan tim PHP adalah titik awal yang otoritatif untuk perbaikan dan detail spesifik versi. Instalasi yang tidak didukung memerlukan perhatian khusus terhadap dukungan vendor atau migrasi ke rilis yang masih dipertahankan.
Tidak ada klaim tentang dana pelanggan yang dicuri atau kompromi perusahaan kripto tertentu yang ditetapkan oleh peringatan tersebut. Berita langsungnya adalah rilis perbaikan kritis untuk infrastruktur yang dapat menjadi dasar pengalaman pembayaran kripto.