En un intento por comprometer el código de PHP, un grupo de atacantes vulneró el repositorio oficial Git del lenguaje de programación más usado en internet.
Los ataques maliciosos afectaron al repositorio Git php-src, que es mantenido por el equipo de PHP en el servidor git.php.net.
Los atacantes publicaron un cambio para “corregir un error tipográfico”, aunque el objetivo era abrir una puerta trasera para la ejecución remota de código (RCE) en un sitio que utilizara la versión adulterada de PHP.
Los atacantes firmaron los cambios como Rasmus Lerdorf y Nikita Popovm, los principales desarrolladores y mantenedores de PHP.
“La primera confirmación [del ataque] se detectó un par de horas después de que se realizara, como parte de la revisión rutinaria del código posterior a la confirmación. Los cambios fueron obviamente maliciosos y se revertieron de inmediato”, dijo Popov a BleepingComputer.
PHP es el lenguaje de programación del lado del servidor que alimenta a más de 79 por ciento de los sitios web en internet.
Aunque la organización lleva a cabo una investigación sobre el incidente, afirman que el ataque se originó en el servidor git.php.net y no con una cuenta Git de algún usuario.
Con los sistemas de control de versiones de código fuente como Git es posible firmar una cambio como otra persona a nivel local y luego cargar la confirmación falsificada en el servidor remoto.
Según Popov, los cambios afectaron a la rama de desarrollo de PHP 8.1, que se lanzará a finales de 2021. “Estamos revisando los repositorios para detectar cualquier corrupción más allá de las dos confirmaciones mencionadas”, puntualizó el desarrollador.
Migración a GitHub
Como precaución después de este incidente, los mantenedores de PHP han decidido migrar el repositorio oficial de código fuente PHP a GitHub.
“Si bien la investigación está en curso, hemos decidido que mantener nuestra propia infraestructura git es un riesgo de seguridad innecesario y descontinuaremos el servidor git.php.net”, afirmó Popov.
De esta manera, cualquier cambio de código se enviará a GitHub en lugar del servidor git.php.net. “Los repositorios en GitHub, que antes eran solo espejos, se volverán canónicos”, agregó el desarrollador.
Los interesados en contribuir al proyecto PHP deberán ser agregados como parte de la organización PHP en GitHub.
