Incidente relacionado · cadena de suministro Composer / Packagist · abril–mayo de 2026
laravel-lang y ataques a la cadena de suministro de Packagist (2026): revise su composer.lock
Los atacantes usaron acceso robado a GitHub para publicar etiquetas maliciosas de paquetes reales de Packagist. En el caso de laravel-lang, el código se ejecutaba en cada petición PHP tras la instalación.
Última actualización
Qué pasó
| Paquete | Fecha | Cómo se ejecutaba | Fuente |
|---|---|---|---|
| laravel-lang/lang, http-statuses, attributes, actions | 22–23/05/2026 | src/helpers.php inyectado en autoload.files, se ejecuta en cada petición y comando CLI | Snyk |
| intercom/intercom-php 5.0.2 | 30/04/2026 | Convertido en plugin de Composer que ejecutaba un script en install/update | Socket |
| Ocho paquetes, entre ellos devdojo/wave y devdojo/genesis (ramas de desarrollo) | Publicado el 23/05/2026 | Hook postinstall en package.json que descargaba un binario de Linux | The Hacker News |
Según Packagist, los ataques usaron cuentas de GitHub tomadas y tokens robados; el equipo retiró las versiones afectadas minutos después de detectarlas.
¿Afecta a mi aplicación?
# Did a project ever resolve one of the affected packages?
grep -n -E '"name": "(laravel-lang/(lang|http-statuses|attributes|actions)|intercom/intercom-php)"' composer.lock
composer show --locked | grep -E 'laravel-lang|intercom'
composer --version # 2.10+ adds dependency policies for malware-flagged versions
composer auditCómo solucionarlo
- Si se instaló una versión afectada en cualquier sitio (portátil, CI, contenedor, servidor), aíslelo, conserve las pruebas y reconstruya desde una imagen limpia.
- Cambie todos los secretos que pudiera leer el proceso PHP o el trabajo de CI:
.env, claves de nube, contraseñas de base de datos, tokens de despliegue, claves SSH. - Actualice a Composer 2.10 o posterior y versione
composer.lock.
Preguntas frecuentes
¿Cómo sé si mi aplicación descargó una versión maliciosa?
Busque los nombres de paquete de esta página en composer.lock en todas las ramas e imágenes construidas y compare la fecha de instalación con el periodo del ataque.
¿Basta con composer update?
No. La carga de laravel-lang ejecutaba un ladrón de credenciales. Trate el entorno como comprometido y cambie claves de nube, contraseñas de base de datos, tokens de CI y claves SSH.
¿Qué cambió Packagist?
Según su entrada del 27 de mayo de 2026: marcas de malware de Aikido en los metadatos, inmutabilidad de las versiones estables y políticas de dependencias en Composer 2.10 que cubren versiones marcadas como maliciosas.
Fuentes
Los enlaces externos salen de este sitio. No alojamos código de explotación.
- An update on Composer & Packagist supply chain security (27 May 2026) — Packagist blog
- Laravel Lang supply chain advisory — Snyk
- Mini Shai-Hulud spreads to Packagist: malicious Intercom PHP package — Socket
- Packagist supply chain attack infects 8 packages using GitHub-hosted Linux malware (23 May 2026) — The Hacker News