PHP ist nach wie vor eine der wichtigsten Programmiersprachen des Webs. So steckt das Programmiersprachen-Urgestein auch heute noch im Backend von über 79 Prozent aller Websites. Bis dato wurde die Fortentwicklung der Programmiersprache auf einem eigenen Git-Server verwaltet. Das soll sich jetzt ändern: Bislang unbekannte Angreifer haben über zwei Commits Schadcode in die Codebase des Projekts eingebracht. Beide Commits gaben sich als von bekannten Maintainern der Programmiersprache stammend aus. In der Konsequenz soll das PHP-Projekt jetzt aus Sicherheitsgründen zu GitHub migriert werden.

Dass es überhaupt möglich ist, sich als jemand anderes auszugeben und in dessen Namen Code zu committen, ist ein bekannter Flaw in Versionsverwaltungssystemen wie Git. Dazu reicht es offenbar aus, dass der Commit lokal als von der zu verkörpernden Person stammend abgezeichnet und anschließend auf den Server geladen wird.

Die Angreifer hatten die Commits abgezeichnet, als stammten sie von zwei bekannten Maintainern der Sprache, Rasmus Lerdorf und Nikita Popov. Beide Commits waren mit „Fix typo“ betitelt – als handele es sich dabei jeweils um die Korrektur eines Tippfehlers.

Bei genauerem Hinsehen stellte sich jedoch heraus, dass die hinzugefügte Zeile 370, in der eine Funktion namens zend_eval_string aufgerufen wird, in Wirklichkeit eine Hintertür zur Remote Code Execution einführte. Laut PHP-Entwickler Jake Birchall führt diese Zeile ausgehend vom useragent Http-Header einer Website dann Code aus, wenn der String mit 'zerodium', beginnt. Gegenüber Bleeping Computer sagte Nikita Popov, dass der bösartige Code wenige Stunden nach dem Commit im Rahmen einer routinemaßigen Post-Commit-Code-Review aufgefallen und sofort rückgängig gemacht worden sei.

Laut Security-Announcement wurde der git.php-Server kompromittiert, nicht der Git-Account einer Einzelperson. In der Folge des Vorfalls habe man beschlossen, das offizielle PHP-Repository auf die Versionsverwaltungsplattform GitHub umzuziehen. Es sei erkannt worden, dass das Unterhalten einer eigenen Git-Infrastruktur ein unnötiges Sicherheitsrisiko mit sich bringe. Die bereits auf GitHub befindlichen Repositories sollen in diesem Zuge canonical werden, Änderungen am Projekt künftig direkt auf GitHub gepushed werden.

Wer sich künftig an der Weiterentwicklung der Programmiersprache beteiligen will, muss sich entsprechend zum Projekt auf GitHub hinzufügen lassen.

Gegenüber Bleeping Computer sagte Popov, das PHP-Security-Team untersuche die Repositories über die beiden Commits hinausgehend auf verdächtige Aktivitäten. Möglich, dass das Projekt in der Zwischenzeit geklont oder geforkt worden sei, die bösartigen Commits seien aber weder in Tags noch in Release-Artefakte übernommen worden. Beide Commits seien auf den Development-Branch von Version 8.1 gepusht worden. PHP 8.1 wird voraussichtlich Ende des Jahres veröffentlicht.