TL;DR: PHP випустила виправлення для двох критичних вразливостей 21 жовтня і закликала негайно оновити системи. Крипто-бізнеси, що використовують веб-інфраструктуру на основі PHP, повинні перевірити цей рівень своїх систем; у повідомленні не повідомляється про порушення безпеки bitcoin або BTCPay Server.
Робота з безпекою для крипто-бізнесу не закінчується на його гаманці. Критичне оновлення PHP знову поставило звичайне веб-серверне програмне забезпечення на оперативну повестку дня.
Попередження про проект PHP від 21 жовтня виявляє дві вразливості, які можуть дозволити виконання віддаленого коду без автентифікації. Виправлені версії в основному репозиторії: PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Проект категорично рекомендує користувачам, які страждають від цих вразливостей, негайно оновитися.
Зазначається, що встановлення, що обслуговують веб-запити, піддаються ризику, і особливо вразливим вважається конфігурація Apache mod_php. Виробники дистрибутивів можуть надавати виправлені пакунки, тому відповідний виправлення залежить від того, як програмне забезпечення постачається та підтримується.
Платіжний стек містить більше, ніж його платіжний процесор
Зв’язок із крипто-комерцією практичний. Офіційна документація BTCPay Server пояснює, як мерчанти можуть підключити систему оплати до WooCommerce, включаючи сценарії з існуючим магазином або вже розгорнутим середовищем магазину.
Мерчант, який використовує цю комбінацію, має кілька компонентів для підтримки. Веб-сайт оформлення замовлення, його плагіни, середовище хостингу та платіжна служба мають різні обов’язки. Оновлення одного компонента не означає, що всі інші частини стеку були виправлені.
Рекомендація щодо PHP стосується обробки веб-запитів у час виконання. Це не є доказом того, що протокол bitcoin був скомпрометований, і сама по собі вона не вказує на недолік у основному програмному забезпеченні BTCPay Server.
Це надає підставу для адміністраторів та хостинг-провайдерів перевірити, чи будь-який підключений магазин або сервіс використовує вразливу установку PHP. Відповідне підтвердження полягає в тому, що робоче середовище містить виправлення, а не просто те, що був оновлений плагін додатка.
Дотримуйтесь виправлень розробника
Рекомендації команди PHP є авторитетним вихідним пунктом для усунення проблем та деталей, пов’язаних із версіями. Непідтримувані встановлення вимагають особливої уваги до підтримки від виробника або міграції на підтримувану версію.
Наразі не підтверджено жодних звинувачень щодо крадіжки коштів клієнтів або компрометації конкретної криптовалютної компанії. Основна новина — випуск критичних виправлень для інфраструктури, яка може лежати в основі досвіду криптовалютних платежів.