TL;DR: O PHP lançou correções para duas falhas críticas em 21 de outubro e recomendou atualizações imediatas. Empresas de criptomoedas que utilizam infraestrutura web baseada em PHP devem verificar essa camada de seus sistemas; o aviso não anuncia uma violação do Bitcoin ou do BTCPay Server.
O trabalho de segurança para um negócio de criptomoeda não termina na sua carteira. Uma atualização crítica do PHP colocou o software comum de servidor web de volta na agenda operacional.
O aviso do projeto PHP de 21 de outubro identifica duas vulnerabilidades que podem permitir execução remota de código sem autenticação. As versões corrigidas upstream são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O projeto incentiva fortemente os usuários afetados a atualizar imediatamente.
Afirma-se que as instalações que atendem solicitações da web estão em risco e destaca a configuração Apache mod_php como particularmente exposta. Os fornecedores de distribuição podem fornecer pacotes corrigidos, portanto, a correção aplicável depende de como o software é fornecido e mantido.
Uma pilha de pagamentos contém mais do que seu processador de pagamentos
A conexão com o comércio cripto é prática. BTCPay Server’s official documentation explica como comerciantes podem conectar seu sistema de pagamento ao WooCommerce, incluindo arranjos envolvendo uma loja existente ou um ambiente de loja implantado.
Um comerciante que usa essa combinação tem vários componentes para manter. O site de checkout, seus plugins, o ambiente de hospedagem e o serviço de pagamento têm responsabilidades distintas. Atualizar um componente não garante que todas as outras partes da pilha tenham sido corrigidas.
O aviso PHP trata do tratamento em tempo de execução de solicitações web. Não é evidência de que o protocolo do bitcoin tenha sido comprometido, nem por si só identifica uma falha no software principal do BTCPay Server.
Ele fornece uma razão para administradores e provedores de hospedagem verificarem se algum storefront ou serviço conectado utiliza uma instalação do PHP afetada. A confirmação relevante é que o ambiente em execução contém a correção, e não simplesmente que um plugin de aplicativo foi atualizado.
Siga a correção do mantenedor
O guia da equipe PHP é o ponto de partida autoritativo para correção e detalhes específicos da versão. Instalações sem suporte exigem atenção especial ao suporte do fornecedor ou à migração para uma versão mantida.
O aviso não estabelece nenhuma afirmação sobre fundos de clientes roubados ou a compromissão de uma empresa específica de criptomoeda. A notícia imediata é o lançamento de correções críticas para a infraestrutura que pode estar por trás de uma experiência de pagamento em criptomoeda.