El 21 de octubre, el proyecto PHP lanzó parches para dos vulnerabilidades críticas que permiten la ejecución remota de código sin autenticación. Las versiones parcheadas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35; el proyecto recomienda encarecidamente actualizar de inmediato.
El aviso indica que las instalaciones que sirven solicitudes web están en riesgo, siendo la configuración de Apache mod_php particularmente vulnerable. Las distribuciones pueden proporcionar sus propios parches, por lo que la solución adecuada depende de cómo se entrega y mantiene el software. Las instalaciones no compatibles requieren atención especial al soporte del proveedor o la migración a una versión compatible.
La conexión con el comercio de criptomonedas es práctica. La documentación oficial de BTCPay Server describe cómo los comerciantes conectan el sistema de pago a WooCommerce, incluso en una tienda existente. Un proveedor de este tipo tiene varios componentes: un sitio de pago, sus complementos, un entorno de alojamiento y un servicio de pago. Actualizar un componente no significa que los demás estén parcheados.
La recomendación de PHP concierne al entorno de ejecución que procesa solicitudes web. No es evidencia de un compromiso del protocolo Bitcoin y no indica en sí misma una vulnerabilidad en el núcleo de BTCPay Server. Sin embargo, da a los administradores y proveedores de alojamiento una razón para verificar si una tienda o servicio conectado utiliza la instalación de PHP afectada. La confirmación es la presencia de un parche en el entorno de trabajo, no solo una actualización del complemento de la aplicación.
La fuente autorizada para el parche y los detalles de las versiones específicas es la guía del equipo de PHP. El aviso no contiene afirmaciones de robo de fondos de clientes o compromiso de una empresa de criptomonedas específica. La principal noticia es el lanzamiento de parches críticos para la infraestructura que puede estar bajo un servicio de pago de criptomonedas.
Este material se ha preparado exclusivamente con fines informativos y no constituye asesoramiento ni recomendación financiera.
Artículos relacionados
