Am 21. Oktober veröffentlichte das PHP-Projekt Patches für zwei kritische Schwachstellen, die eine nicht authentifizierte Remote-Code-Ausführung ermöglichen. Die gepatchten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35; das Projekt empfiehlt dringend, sofort zu aktualisieren.
Die Empfehlung besagt, dass Installationen, die Webanfragen bedienen, gefährdet sind, wobei die Apache mod_php-Konfiguration besonders anfällig ist. Distributionen können eigene Patches bereitstellen, daher hängt die geeignete Lösung davon ab, wie die Software bereitgestellt und gewartet wird. Nicht unterstützte Installationen erfordern besondere Aufmerksamkeit hinsichtlich des Anbietersupports oder einer Migration zu einer unterstützten Version.
Der Zusammenhang mit dem Kryptohandel ist praktisch. Die offizielle BTCPay Server-Dokumentation beschreibt, wie Händler das Zahlungssystem mit WooCommerce verbinden, auch in einem bestehenden Shop. Ein solcher Anbieter hat mehrere Komponenten: eine Checkout-Site, ihre Plugins, eine Hosting-Umgebung und einen Zahlungsdienst. Das Aktualisieren einer Komponente bedeutet nicht, dass die anderen gepatcht sind.
Die PHP-Empfehlung betrifft die Laufzeitumgebung, die Webanfragen verarbeitet. Es ist kein Beweis für eine Kompromittierung des Bitcoin-Protokolls und deutet nicht selbst auf eine Schwachstelle im BTCPay Server-Kern hin. Es gibt jedoch Administratoren und Hosting-Anbietern einen Grund, zu überprüfen, ob ein angeschlossener Shop oder Dienst die betroffene PHP-Installation verwendet. Die Bestätigung ist das Vorhandensein eines Patches in der Arbeitsumgebung, nicht nur ein Update eines Anwendungs-Plugins.
Die maßgebliche Quelle für den Patch und Details zu spezifischen Versionen ist die Anleitung des PHP-Teams. Die Empfehlung enthält keine Behauptungen über den Diebstahl von Kundengeldern oder die Kompromittierung eines bestimmten Kryptounternehmens. Die Hauptnachricht ist die Veröffentlichung kritischer Patches für Infrastrukturen, die möglicherweise unter einem Krypto-Zahlungsdienst stehen.
Das Material dient ausschließlich zu Informationszwecken und stellt keinen finanziellen Rat oder Empfehlung dar.
Ähnliche Artikel
