Último

Atacan repositorio oficial de PHP, el principal lenguaje web

En un intento por comprometer el código de PHP, grupo de atacantes vulneró el repositorio oficial Git del lenguaje de programación más usado en internet.

Los ataques maliciosos afectaron al repositorio Git php-src, que es mantenido por el equipo de PHP en el servidor git.php.net.

Los atacantes publicaron un cambio para “corregir error un tipográfico”, aunque el objetivo era abrir una puerta trasera para la ejecución remota de código (RCE) en un sitio que utilizara la versión adulterada de PHP.

Los atacantes firmaron los cambios como Rasmus Lerdorf y Nikita Popovm, los principales desarrolladores y mantenedores de PHP.

“La primera confirmación [del ataque] se detectó un par de horas después de que se realizara, como parte de la revisión rutinaria del código posterior a la confirmación. Los cambios fueron obviamente maliciosos y se revertieron de inmediato”, dijo Popov a BleepingComputadora.

PHP es el lenguaje de programación del lado del servidor que alimenta a más del 79 por ciento de los sitios web en internet.

Aunque la organización está llevando a cabo una investigación sobre el incidente, afirman que el ataque se originó en el servidor git.php.net y no con una cuenta Git de algún usuario.

Con los sistemas de control de versiones de código fuente como Git, es posible firmar una cambio como otra persona a nivel local y luego cargar la confirmación falsificada en el servidor remoto.

Según Popov, los cambios afectaron a la rama de desarrollo de PHP 8.1, que se lanzará a finales de 2021. “Estamos revisando los repositorios para detectar cualquier corrupción más allá de las dos confirmaciones mencionadas”, puntualizó el desarrollador.

Migración a GitHub

Como precaución después de este incidente, los mantenedores de PHP han decidido migrar el repositorio oficial de código fuente PHP a GitHub.

“Si bien la investigación está en curso, hemos decidido que mantener nuestra propia infraestructura git es un riesgo de seguridad innecesario y descontinuaremos el servidor git.php.net”, afirmó Popov.

Con este cambio, que cualquier cambio de código se enviará a GitHub en lugar de al servidor git.php.net. “Los repositorios en GitHub, que antes eran solo espejos, se volverán canónicos”, agregó el desarrollador.

De esta forma, los interesados ​​en contribuir al proyecto PHP deberán ser agregados como parte de la organización PHP en GitHub.

Recomendaciones del editor






Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

You cannot copy content of this page