Se han publicado los primeros resultados del an\u00e1lisis del incidente relacionado con la detecci\u00f3n de dos commits maliciosos con un backdoor en el repositorio Git del proyecto PHP, que se activaban al enviar una solicitud con un encabezado User Agent especialmente dise\u00f1ado. Durante el examen de los rastros de la actividad de los atacantes, se concluy\u00f3 que el servidor git.php.net, donde se alojaba el repositorio git, no fue hackeado, pero se comprometi\u00f3 la base de datos con las cuentas de los desarrolladores del proyecto. <\/p>\n
No se descarta que los delincuentes hayan podido descargar la base de usuarios almacenada en la base de datos en el servidor master.php.net. El contenido de master.php.net ya ha sido trasladado a un nuevo servidor main.php.net, instalado desde cero. Todas las contrase\u00f1as de los desarrolladores que se utilizaron para acceder a la infraestructura de php.net han sido restablecidas y se ha iniciado el proceso de cambio a trav\u00e9s de un formulario especial de recuperaci\u00f3n de contrase\u00f1a. Los repositorios git.php.net y svn.php.net permanecen accesibles en modo de solo lectura (el desarrollo ha sido trasladado a GitHub). <\/p>\n
Despu\u00e9s de descubrir el primer commit malicioso, realizado a trav\u00e9s de la cuenta de Rasmus Lerdorf, el fundador de PHP, se supuso que su cuenta hab\u00eda sido hackeada y que Nikita Popov, uno de los desarrolladores clave de PHP, hab\u00eda revertido los cambios y bloqueado los derechos de commit para la cuenta problem\u00e1tica. Despu\u00e9s de un tiempo, se lleg\u00f3 a la conclusi\u00f3n de que el bloqueo no ten\u00eda sentido, ya que sin la verificaci\u00f3n de los commits mediante firma digital, cualquier participante con acceso al repositorio php-src pod\u00eda realizar cambios, sustituyendo un nombre de autor ficticio. <\/p>\n
Luego, los atacantes enviaron un commit malicioso en nombre del mismo Nikita. A trav\u00e9s del an\u00e1lisis de los registros del servicio gitolite, utilizado para organizar el acceso a los repositorios, se intent\u00f3 determinar qui\u00e9n realmente realiz\u00f3 los cambios. A pesar de tener habilitado el registro de todos los commits, no hab\u00eda registros de los dos cambios maliciosos en el log. Qued\u00f3 claro que hab\u00eda una compromiso de la infraestructura, ya que los commits se a\u00f1adieron directamente, eludiendo la conexi\u00f3n a trav\u00e9s de gitolite. <\/p>\n
El servidor git.php.net fue desconectado de manera r\u00e1pida, y el repositorio principal fue trasladado a GitHub. En la prisa, se pas\u00f3 por alto que para acceder al repositorio, adem\u00e1s de SSH utilizando gitolite, hab\u00eda otra entrada que permit\u00eda enviar commits a trav\u00e9s de HTTPS. En este caso, se utiliz\u00f3 el backend git-http-backend para interactuar con Git, y la autenticaci\u00f3n fue llevada a cabo mediante el servidor HTTP Apache2, que verificaba las credenciales a trav\u00e9s de una base de datos alojada en el SGBD en servidor<\/a> master.php.net. Se permit\u00eda la entrada no solo mediante claves, sino tambi\u00e9n a trav\u00e9s de una contrase\u00f1a com\u00fan. El an\u00e1lisis de los registros del servidor http confirm\u00f3 que los cambios maliciosos fueron a\u00f1adidos a trav\u00e9s de HTTPS. <\/p>\n Al estudiar los registros, se descubri\u00f3 que los atacantes se conectaron no a la primera, sino que inicialmente intentaron adivinar el nombre de la cuenta, pero despu\u00e9s de identificarlo, entraron a la primera. Es decir, ya conoc\u00edan las contrase\u00f1as de Rasmus y Nikita, pero no conoc\u00edan sus nombres de usuario. Si los atacantes lograron acceder al SGBD, no est\u00e1 claro por qu\u00e9 no utilizaron inmediatamente el nombre de usuario correcto indicado all\u00ed. Esta incongruencia a\u00fan no tiene una explicaci\u00f3n confiable. El hackeo de master.php.net se considera el escenario m\u00e1s probable, dado que en este servidor<\/a> se utiliz\u00f3 un c\u00f3digo muy antiguo y un sistema operativo desactualizado que no hab\u00eda sido actualizado durante mucho tiempo y conten\u00eda vulnerabilidades no corregidas. <\/p>\n De las acciones emprendidas, se destaca la reinstalaci\u00f3n del entorno del servidor master.php.net y la actualizaci\u00f3n de los scripts a una nueva versi\u00f3n de PHP 8. El c\u00f3digo para interactuar con el SGBD ha sido reescrito para usar consultas parametrizadas, dificultando la inyecci\u00f3n de c\u00f3digo SQL. Para almacenar los hashes de las contrase\u00f1as en la base de datos, se ha empleado el algoritmo bcrypt (anteriormente, las contrase\u00f1as se almacenaban utilizando el hash MD5 poco fiable). Las contrase\u00f1as existentes han sido restablecidas y se ha propuesto establecer una nueva contrase\u00f1a a trav\u00e9s del formulario de recuperaci\u00f3n de contrase\u00f1a. Dado que el acceso a los repositorios git.php.net y svn.php.net a trav\u00e9s de HTTPS estaba vinculado a los hashes MD5, se decidi\u00f3 mantener git.php.net y svn.php.net en modo de solo lectura, as\u00ed como trasladar todos los repositorios restantes de extensiones PECL a GitHub, similar al repositorio principal de PHP. \u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u043f\u0435\u0440\u0432\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0432 Git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 PHP \u0434\u0432\u0443\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043c\u0438\u0442\u043e\u0432 \u0441 \u0431\u044d\u043a\u0434\u043e\u0440\u043e\u043c, \u0430\u043a\u0442\u0438\u0432\u0438\u0440\u0443\u0435\u043c\u044b\u043c \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c User Agent. \u0412 \u0445\u043e\u0434\u0435 \u0438\u0437\u0443\u0447\u0435\u043d\u0438\u044f \u0441\u043b\u0435\u0434\u043e\u0432 \u0434\u0435\u044f\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 \u0431\u044b\u043b \u0441\u0434\u0435\u043b\u0430\u043d \u0432\u044b\u0432\u043e\u0434, \u0447\u0442\u043e \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0441\u0435\u0440\u0432\u0435\u0440 git.php.net, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0431\u044b\u043b \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0439 \u043d\u0435 \u0431\u044b\u043b \u0432\u0437\u043b\u043e\u043c\u0430\u043d, \u043d\u043e \u0431\u044b\u043b\u0430 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0431\u0430\u0437\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 \u0443\u0447\u0451\u0442\u043d\u044b\u043c\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-99679","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Informe sobre la compromisi\u00f3n del repositorio git y la base de usuarios del proyecto PHP | ProHoster","description":"Se han publicado los primeros resultados del an\u00e1lisis del incidente relacionado con la detecci\u00f3n de dos commits maliciosos con un backdoor en el repositorio Git del proyecto PHP, los cuales se activan al recibir una solicitud con un encabezado especialmente formateado.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0442\u0447\u0451\u0442 \u043e \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f \u0438 \u0431\u0430\u0437\u044b \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 PHP | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u043f\u0435\u0440\u0432\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0432 Git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 PHP \u0434\u0432\u0443\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043c\u0438\u0442\u043e\u0432 \u0441 \u0431\u044d\u043a\u0434\u043e\u0440\u043e\u043c, \u0430\u043a\u0442\u0438\u0432\u0438\u0440\u0443\u0435\u043c\u044b\u043c \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-04-07T08:22:44+00:00","article:modified_time":"2021-04-07T08:22:44+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"99679","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-04-07 09:53:42","updated":"2026-02-09 21:39:38","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/99679","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=99679"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/99679\/revisions"}],"predecessor-version":[{"id":159941,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/99679\/revisions\/159941"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=99679"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=99679"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=99679"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"