Verwandter Vorfall · Composer-/Packagist-Lieferkette · April–Mai 2026
laravel-lang und Packagist-Lieferkettenangriffe (2026): composer.lock prüfen
Angreifer nutzten gestohlenen GitHub-Zugang, um bösartige Tags für echte Packagist-Pakete zu veröffentlichen. Bei laravel-lang lief der Code nach der Installation bei jeder PHP-Anfrage.
Zuletzt aktualisiert
Was passiert ist
| Paket | Zeitraum | Ausführung | Quelle |
|---|---|---|---|
| laravel-lang/lang, http-statuses, attributes, actions | 22.–23.05.2026 | Eingeschleuste src/helpers.php in autoload.files, läuft bei jeder Anfrage und jedem CLI-Befehl | Snyk |
| intercom/intercom-php 5.0.2 | 30.04.2026 | Zum Composer-Plugin umgebaut, Skript bei install/update | Socket |
| Acht Pakete inkl. devdojo/wave und devdojo/genesis (Dev-Branches) | Gemeldet 23.05.2026 | postinstall-Hook in package.json lädt ein Linux-Binary | The Hacker News |
Packagist zufolge nutzten die Angriffe übernommene GitHub-Konten und gestohlene Tokens; das Team entfernte betroffene Versionen binnen Minuten nach der Erkennung.
Ist meine Anwendung betroffen?
# Did a project ever resolve one of the affected packages?
grep -n -E '"name": "(laravel-lang/(lang|http-statuses|attributes|actions)|intercom/intercom-php)"' composer.lock
composer show --locked | grep -E 'laravel-lang|intercom'
composer --version # 2.10+ adds dependency policies for malware-flagged versions
composer auditSo beheben Sie es
- Wurde irgendwo (Laptop, CI, Container, Server) eine betroffene Version installiert: isolieren, Beweise sichern, aus sauberem Image neu bauen.
- Alle Geheimnisse rotieren, die der PHP-Prozess oder CI-Job lesen konnte:
.env, Cloud-Schlüssel, Datenbankpasswörter, Deploy-Tokens, SSH-Schlüssel. - Auf Composer 2.10 oder neuer aktualisieren und
composer.lockcommitten.
FAQ
Wie erkenne ich, ob meine App eine bösartige Version geladen hat?
Durchsuchen Sie composer.lock in allen Branches und gebauten Images nach den Paketnamen dieser Seite und vergleichen Sie das Installationsdatum mit dem Angriffszeitraum.
Reicht composer update?
Nein. Die laravel-lang-Nutzlast startete einen Credential-Stealer. Behandeln Sie die Umgebung als kompromittiert und rotieren Sie Cloud-Schlüssel, Datenbankpasswörter, CI-Tokens und SSH-Schlüssel.
Was hat Packagist geändert?
Laut Beitrag vom 27. Mai 2026: Malware-Markierungen von Aikido in den Metadaten, unveränderliche stabile Versionen und Abhängigkeitsrichtlinien in Composer 2.10 für als Malware markierte Versionen.
Quellen
Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.
- An update on Composer & Packagist supply chain security (27 May 2026) — Packagist blog
- Laravel Lang supply chain advisory — Snyk
- Mini Shai-Hulud spreads to Packagist: malicious Intercom PHP package — Socket
- Packagist supply chain attack infects 8 packages using GitHub-hosted Linux malware (23 May 2026) — The Hacker News