Кратко: PHP выпустила исправления для двух критических уязвимостей 21 октября и рекомендовала немедленно обновиться. Криптобизнесы, использующие веб-инфраструктуру на основе PHP, должны проверить этот уровень своих систем; в уведомлении не сообщается о взломе Bitcoin или BTCPay Server.
Работа по безопасности в крипто-бизнесе не заканчивается на кошельке. Критическое обновление PHP снова вывело обычное веб-серверное программное обеспечение на операционную повестку дня.
Рекомендация PHP-проекта от 21 октября выявляет две уязвимости, которые могут позволить выполнение удаленного кода без аутентификации. Исправленные версии в основном репозитории: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Проект настоятельно рекомендует всем затронутым пользователям немедленно обновиться.
Указывается, что установки, обслуживающие веб-запросы, находятся под угрозой, и особо подчеркивается, что конфигурация Apache mod_php особенно уязвима. Поставщики дистрибутивов могут предоставить исправленные пакеты, поэтому соответствующее решение зависит от того, как программное обеспечение поставляется и поддерживается.
Платежный стек включает в себя больше, чем просто платежный процессор
Связь с крипто-коммерцией практична. Официальная документация BTCPay Server объясняет, как мерчанты могут подключить её платежную систему к WooCommerce, включая сценарии, связанные с существующим магазином или развернутой средой магазина.
Мерчант, использующий эту комбинацию, должен поддерживать несколько компонентов. Веб-сайт оформления заказа, его плагины, хостинговая среда и сервис оплаты имеют различные обязанности. Обновление одного компонента не означает, что все остальные части стека были исправлены.
Совет по PHP касается обработки веб-запросов во время выполнения. Это не доказательство того, что протокол bitcoin был скомпрометирован, и само по себе не указывает на уязвимость в ядре программного обеспечения BTCPay Server.
Это предоставляет основание для администраторов и хостинг-провайдеров проверить, использует ли какой-либо подключенный интернет-магазин или сервис затронутую установку PHP. Соответствующим подтверждением является то, что рабочая среда содержит исправление, а не просто то, что был обновлен плагин приложения.
Следуйте за устранением проблемы разработчиком
Руководство команды PHP является авторитетной отправной точкой для устранения и деталей, специфичных для версий. Установки, не поддерживаемые требуют особого внимания к поддержке от поставщика или миграции на поддерживаемую версию.
Совет не подтверждает никаких утверждений о краже клиентских средств или компрометации конкретной криптовалютной компании. Новость заключается в выпуске критических исправлений для инфраструктуры, которая может лежать в основе опыта криптовалютных платежей.