Recientemente ocurrió un incidente alarmante, donde se detectó un ataque dirigido al repositorio Git de PHP, en el cual modificaron el código base de PHP.
El día domingo (28/03/2021) durante una revisión de mantenimiento por parte de los desarrolladores y su equipo de mantenimiento de PHP en su servidor “git.php.net”, detectaron dos “Commits” maliciosos colocados en el repositorio Git oficial de PHP. Los expertos destacan que en ambos “commits” maliciosos, fueron publicados como “fix typo”, seguramente para hacer pretender que el cambio era una corrección menor de tipografía, además de estar supuestamente firmados por Rasmus Lerdorf (Desarrollador de PHP) y Nikita Popov (Contribuyente en la mantención de PHP), respectivamente.
Commit malicioso agregado por los atacantes y firmado falsamente por Rasmus Lerdorf
En la detección se pudo observar una línea agregada en particular, una llamada de función nombrada “zend_eval_string”, en dicho código estaba plantando una puerta trasera que le brindaría a los atacantes un acceso fácil para ejecutar código remoto en un sitio web que ejecutará esta versión de PHP hackeada. Uno de los desarrolladores destacaron que esta línea de código PHP ejecuta código PHP desde el header “HTTP_USER_AGENT”, si la cadena comienza con “zerodium”.
Respecto al segundo commit malicioso, fue encontrado un par de horas después y por supuesto estos cambios fueron revertidos de forma inmediata.
Cabe destacar que este es otro incidente realizado por un ataque a la cadena de suministro que se suma a los ocurridos en poco tiempo, siendo este de gran importancia debido a que el 79% de sitios web en la internet que utilizan un lenguaje de programación del lado del servidor usan PHP.
Como medida de prevención, los mantenedores de PHP han decidido migrar el repositorio del código fuente oficial de PHP ha GitHub y descontinuando el uso su servidor Git “git.php.net”, así como cualquier cambio del código sea enviado directamente a GitHub en lugar el servidor Git. Además, agregaron métodos para reforzar la autenticación en GitHub para el acceso a la edición del código, como autenticación de doble factor (2FA).
Referencia:
PHP's Git server hacked to add backdoors to PHP source code
COMENTARIOS