Ir al contenido
La semana PHP
#133 martes 6 de abril de 2021

Comprometido el repositorio de PHP

¿Aún no la recibes? Cada martes a las 7:00 en tu correo, gratis.

    Otra semana más cargada de artículos, noticias y podcast de PHP y su ecosistema. Gracias por leer este boletín informativo ?.

    El domingo 28 de marzo, el servidor git.php.net recibió dos commits que suplantaban al fundador del proyecto PHP, Rasmus Lerdorf, y a Nikita Popov, uno de los actuales desarrolladores más activos. Los commits tenían el mensaje «[skip-ci] Fix typo», presumiblemente para hacerlos parecer triviales.

    El primer commit, de Rasmus Lerdorf, introdujo una puerta trasera que ejecutaría cualquier código contenido en una cabecera HTTP especialmente manipulada.

    Nikita se dio cuenta rápidamente y revirtió este commit, además de revocar el acceso de Rasmus a git.php.net. Siete horas más tarde, el mismo repositorio recibió otro commit, esta vez del propio Nikita, que reintrodujo la misma puerta trasera. Otro mantenedor de PHP, Levi Morrison, revirtió el último commit y, desde entonces, no ha habido más ataques.

    Lo más probable es que el atacante obtuviera acceso al servidor git.php.net, en lugar de comprometer los equipos de Nikita y de Rasmus.

    Nikita decidió entonces hacer que el repositorio de GitHub fuera el canónico (hasta ahora era un espejo) y configurar la organización de GitHub para requerir 2FA en todas las cuentas.

    Este incidente también ha provocado que las actualizaciones de PHP se retrasen por precaución.

    Ninguna de estas puertas traseras han llegado a ningún paquete, por lo que no tienes que preocuparte por este problema en tus servidores.

    Dentro de las polémicas que rodean el desarrollo del software, esta semana destaca la reincorporación de Richard Stallman en consejo de administración de la FSF. Stallman había renunciado a su puesto de director de la FSF por unas polémicas declaraciones. Multitud de organizaciones y personas relevantes en el software libre, como la Open Source Initiative, se han opuesto a su vuelta. Red Hat ha llegado más lejos, dejando de financiar la FSF y cualquier evento que organice. Además, se ha redactado una carta abierta, con más de 3.000 firmantes, para eliminar a RMS de cualquier posición de dirección. Pero Stallman también tiene sus partidarios, ya que más de 5.000 personas han firmado una carta abierta apoyándolo. ¿Cómo acabará la situación? Por ahora varios miembros del consejo de administración de la FSF ya han dimitido.

    Dentro de las novedades, esta semana tienes Symfony 5.2.6, Symfony 4.4.21, Laravel 8.35.1, CakePHP 4.2.5, CakePHP 3.10.0-RC1 y WooCommerce 5.2 Release Candidate.

    Como de costumbre, la lista de esta semana trae una gran cantidad de artículos, tutoriales, vídeos y noticias interesantes.

    Si quieres recibir 4-5 ofertas de trabajo diarias sobre el ecosistema PHP, échale un vistazo a nuestro canal de Telegram y únete.

    Esta edición está patrocinada por Raiola Networks, tu experto en hosting, tanto para WordPress como VPS o servidores dedicados, en los que podrás desplegar todos tus proyectos.

    Con Raiola tendrás tu proyecto en las mejores manos, con la última tecnología del mercado, soporte 24/7, backups automáticos diarios, migración gratuita y servicios como dominios, certificados SSL,…

    Gestionar tu web no tiene por qué ser un desafío. En Raiola te damos todas las herramientas que necesitas y, cuando surge un nuevo avance, somos los primeros en implementarlo. 

    Si tienes alguna sugerencia que consideres interesante, puedes enviármela a través del formulario de contacto, de Twitter o respondiendo a este correo electrónico.

    Artículos y tutoriales

    Noticias

    Vídeos y podcasts

    Nos vemos el martes.

    El #155 sale el 3 de noviembre a las 7:00.