TL;DR: PHP đã phát hành bản vá cho hai lỗ hổng nghiêm trọng vào ngày 21 tháng Mười và khuyến nghị cập nhật ngay lập tức. Các doanh nghiệp tiền điện tử sử dụng hạ tầng web dựa trên PHP nên kiểm tra lớp hệ thống này; thông báo cảnh báo không tuyên bố bất kỳ sự xâm phạm nào đối với bitcoin hoặc BTCPay Server.
Công việc bảo mật cho một doanh nghiệp tiền mã hóa không kết thúc tại ví. Một bản cập nhật PHP quan trọng đã đưa phần mềm máy chủ web thông thường trở lại chương trình hoạt động.
Báo cáo cảnh báo ngày 21 tháng 10 của dự án PHP xác định hai lỗ hổng có thể cho phép thực thi mã từ xa mà không cần xác thực. Các phiên bản đã được sửa ở upstream là PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Dự án khuyến nghị mạnh mẽ những người dùng bị ảnh hưởng cập nhật ngay lập tức.
Nó cho biết các cài đặt phục vụ yêu cầu web đang gặp rủi ro và nhấn mạnh cấu hình Apache mod_php là đặc biệt dễ bị tổn thương. Các nhà cung cấp phân phối có thể cung cấp các gói đã được vá, do đó biện pháp khắc phục phù hợp phụ thuộc vào cách phần mềm được cung cấp và duy trì.
Một stack thanh toán bao gồm nhiều hơn chỉ là nhà xử lý thanh toán của nó
Kết nối với thương mại tiền điện tử là thực tế. BTCPay Server’s official documentation giải thích cách các bên chấp nhận thanh toán có thể kết nối hệ thống thanh toán của nó với WooCommerce, bao gồm các sắp xếp liên quan đến cửa hàng hiện có hoặc môi trường cửa hàng đã triển khai.
Một bên chấp nhận thanh toán sử dụng kết hợp đó cần duy trì nhiều thành phần. Trang web thanh toán, các plugin của nó, môi trường lưu trữ và dịch vụ thanh toán có những trách nhiệm riêng biệt. Việc cập nhật một thành phần không đảm bảo rằng mọi phần khác trong hệ thống đã được vá.
Lời khuyên về PHP liên quan đến cách xử lý yêu cầu web trong thời gian chạy. Đây không phải là bằng chứng cho thấy giao thức bitcoin đã bị xâm phạm, và bản thân nó không xác định được lỗ hổng trong phần mềm cốt lõi của BTCPay Server.
Nó cung cấp lý do để các quản trị viên và nhà cung cấp lưu trữ kiểm tra xem bất kỳ cửa hàng hoặc dịch vụ nào được kết nối có sử dụng cài đặt PHP bị ảnh hưởng hay không. Xác nhận liên quan là môi trường đang chạy đã chứa bản vá, chứ không chỉ đơn thuần là plugin ứng dụng đã được cập nhật.
Theo dõi việc khắc phục của người duy trì
Hướng dẫn của nhóm PHP là điểm khởi đầu chính thức để khắc phục sự cố và chi tiết theo phiên bản. Các cài đặt không được hỗ trợ cần được chú ý đặc biệt đến hỗ trợ từ nhà cung cấp hoặc chuyển đổi sang phiên bản được duy trì.
Thông báo không xác lập bất kỳ tuyên bố nào về việc tiền của khách hàng bị đánh cắp hay sự xâm phạm của một công ty tiền điện tử cụ thể. Tin tức tức thì là việc phát hành các bản vá quan trọng cho hạ tầng có thể nằm dưới nền tảng trải nghiệm thanh toán tiền điện tử.