TL;DR: PHPは10月21日に2つの重大な脆弱性に対する修正をリリースし、即時の更新を促しました。PHPベースのWebインフラを使用する暗号通貨企業は、システムのこの層を確認してください。このアドバイザリーは、BitcoinまたはBTCPay Server自体の侵害を発表したものではありません。
暗号通貨ビジネスのセキュリティ対策はウォレットで終わりません。重要なPHPの更新により、通常のウェブサーバーソフトウェアが改めて運用の議題に戻りました。
PHPプロジェクトの10月21日付アドバイザリは、認証なしのリモートコード実行を可能にする2つの脆弱性を特定しています。修正済みのアップストリームリリースは、PHP 8.5.12、8.4.27、8.3.36、および8.2.35です。プロジェクトは、影響を受けるユーザーに対して即時の更新を強く推奨しています。
ウェブリクエストを処理するインストールがリスクにさらされているとされ、Apache mod_phpの設定が特に脆弱であることが指摘されています。ディストリビューションベンダーはパッチ済みパッケージを提供する可能性があるため、適用される対策はソフトウェアの提供および保守方法によって異なります。
ペイメントスタックには、ペイメントプロセッサ以上が含まれます
暗号通貨商業への接続は実用的です。BTCPay Serverの公式ドキュメントは、マーチャントがBTCPay Serverの支払いシステムをWooCommerceに接続する方法を、既存のストアまたは展開済みのストア環境を含めて説明しています。
その組み合わせを使用するマーチャントは、複数のコンポーネントを維持する必要があります。チェックアウトウェブサイト、そのプラグイン、ホスティング環境、および支払いサービスはそれぞれ異なる役割を担っています。あるコンポーネントを更新しても、スタックの他のすべての部分がパッチ適用されたことを意味しません。
PHPのアドバイザリは、Webリクエストのランタイム処理に関するものです。これはBitcoinのプロトコルが侵害されたことを示す証拠ではなく、BTCPay Serverのコアソフトウェアに欠陥があることを直接示すものでもありません。
これは、管理者およびホスティングプロバイダーが、関連するストアやサービスが影響を受けるPHPインストールを使用しているかどうかを確認する理由を提供します。関連する確認は、アプリケーションプラグインが更新されたというだけでなく、実行環境に修正が含まれていることです。
メンテナーの対応策に従ってください
PHPチームのガイドラインは、修正およびバージョン固有の詳細の権威ある出発点です。サポートされていないインストールについては、ベンダーのサポートまたは維持されているリリースへの移行に特に注意が必要です。
このアドバイザリーは、顧客資金の盗難や特定の暗号資産企業の compromis についての主張を確立していません。直近のニュースは、暗号資産支払い体験の下層に位置するインフラに対する重要な修正のリリースです。