本周一PHP项目宣布遭到黑客攻击,PHP的主Git服务器被非法访问,攻击者上载了两个恶意提交,其中包括后门,但在投入生产环境之前就被发现了。
PHP是最流行的Web开发开源脚本语言之一,代码可嵌入HTML。恶意提交被推送到php-src存储库,从而为攻击者提供了一个供应链攻击机会,感染不知情的网站。
两次提交都声称在源代码中“修正了拼写错误”。根据周日Popov发送到该项目邮件列表的消息,攻击者使用PHP的维护者Rasmus Lerdorf和Nikita Popov的名称上传了这些文件。Popov认为这不仅是凭证盗窃那么简单。