Dans le contexte: PHP est un langage de script open source que les développeurs Web intègrent au HTML pour gérer le contenu dynamique, les bases de données et d’autres tâches quotidiennes. Le projet PHP maintient ses référentiels sur sa propre infrastructure git. Au cours du week-end, quelqu’un a poussé des commits malveillants qui ont peut-être permis à des pirates d’attaquer des sites Web utilisant les référentiels PHP.
Au cours du week-end, les attaquants ont téléchargé deux charges utiles de logiciels malveillants sur le serveur PHP git, l’un d’entre eux aurait créé une porte dérobée vers des sites Web compatibles PHP. Les deux ont été trouvés et rétablis avant d’entrer en production. Les deux commits ont été poussés dans le référentiel php-src dimanche sous les noms d’utilisateur des responsables PHP Nikita Popov (nikic) et Rasmus Lerdorf (rlerdorf).
Les descriptions disaient qu’il s’agissait de corrections pour «corriger les fautes de frappe». Popov a immédiatement publié une déclaration disant que lui et Lerdorf ne savaient pas comment les attaquants avaient téléchargé le code malveillant sous leur nom, mais pensaient que quelqu’un avec un accès push avait compromis le serveur.
« Hier (2021-03-28), deux commits malveillants ont été poussés vers le repo php-src par les noms de Rasmus Lerdorf et moi-même », a écrit Popov. « Nous ne savons pas encore exactement comment cela s’est passé, mais tout indique un compromis du serveur git.php.net (plutôt qu’un compromis d’un compte git individuel). »
À la suite de l’attaque, ils ont décidé que maintenir le projet sur leur propre serveur git était «un risque de sécurité inutile». Les référentiels GitHub du projet, qui n’étaient auparavant que des miroirs, deviendront désormais canoniques et le serveur git.php.net sera arrêté. Les contributeurs au projet doivent rejoindre l’organisation PHP sur GitHub pour pousser les commits.
Popov note que par précaution supplémentaire, ils examinent tous les dépôts pour toute autre «corruption» possible et demande que si quelqu’un d’autre voit quelque chose de suspect, de le lui faire savoir.
