Les contributions à PHP doivent désormais se faire sur les dépôts GitHub. Le projet a décidé d’abandonner son serveur Git après sa probable compromission.
L’attaque est survenue ce week-end. Elle a visé php-src, le principal dépôt du projet. On y a injecté, à deux reprises, du code malveillant au nom de contributeurs « légitimes ». Le commit était signalé comme une correction de coquille (Fix typo). Il est intervenu sur la branche de développement de PHP 8.1, attendu pour la fin de l’année.
Ce code ouvrait une porte dérobée. Il attendait un signal : la réception d’un en-tête HTTP débutant par la chaîne « zerodium ». Auquel cas il exécutait tout fichier PHP contenu dans cet en-tête.
Les superviseurs du projet PHP ont dû s’y reprendre à deux fois : quelques heures après sa suppression, le code est réapparu.
Les dépôts GitHub, qui faisaient jusqu’alors office de miroirs, deviennent le point de référence pour effectuer des changements. Pour y accéder en écriture, deux conditions : être membre de l’organisation PHP et activer l’authentification à deux facteurs.
En plus de mettre en doute la capacité du projet à gérer son infrastructure (dont karma, son système d’authentification maison), l’incident a relancé le débat sur la signature des commits.
Docker Hub : un nid à cryptomineurs |
Palo Alto Networks a repéré, sur Docker Hub, une trentaine d’images contenant des mineurs de cryptomonnaies. Émises par une dizaine de comptes, elles comptent plus de 20 millions de téléchargements. Pour l’essentiel (90,3 %), elles minent du Monero. Butin global estimé : environ 200 000 $. |
Photo d’illustration © Zothen – Fotolia
L’Autorité de la concurrence et des marchés (CMA) britannique ouvre une enquête sur les conditions…
Thomas Gourand est nommé Directeur Général pour la France. Il est chargé du développement de…
Pour dissuader le CISPE d'un accord avec Microsoft, Google aurait mis près de 500 M€…
Pour réduire la taille des mises à jour de Windows, Microsoft va mettre en place…
De l'organisation administrative à la construction budgétaire, la Cour des comptes pointe le fonctionnement complexe…
Sous la bannière SpreadSheetLLM, Microsoft propose un framework destiné à optimiser le traitement des feuilles…