Incident connexe · chaîne d’approvisionnement Composer / Packagist · avril–mai 2026

laravel-lang et attaques sur Packagist (2026) : vérifiez votre composer.lock

Des attaquants ont utilisé un accès GitHub volé pour publier des tags malveillants de vrais paquets Packagist. Pour laravel-lang, le code s’exécutait à chaque requête PHP après installation.

Dernière mise à jour 2026-10-22

Ce qui s’est passé

Paquets signalés comme compromis

Paquet	Date	Mode d’exécution	Source
laravel-lang/lang, http-statuses, attributes, actions	22–23/05/2026	`src/helpers.php` injecté dans `autoload.files`, exécuté à chaque requête et commande CLI	Snyk
intercom/intercom-php 5.0.2	30/04/2026	Transformé en plugin Composer lançant un script à l’install/update	Socket
Huit paquets dont devdojo/wave et devdojo/genesis (branches de dev)	Signalé le 23/05/2026	Hook `postinstall` dans package.json téléchargeant un binaire Linux	The Hacker News

Selon Packagist, ces attaques ont utilisé des comptes GitHub détournés et des jetons volés ; l’équipe a retiré les versions touchées quelques minutes après leur détection.

Mon application est-elle concernée ?

Vérifier les lockfiles et la version de Composer

# Did a project ever resolve one of the affected packages?
grep -n -E '"name": "(laravel-lang/(lang|http-statuses|attributes|actions)|intercom/intercom-php)"' composer.lock
composer show --locked | grep -E 'laravel-lang|intercom'
composer --version          # 2.10+ adds dependency policies for malware-flagged versions
composer audit

Comment corriger

Si une version touchée a été installée quelque part (poste, CI, conteneur, serveur), isolez-le, conservez les preuves et reconstruisez depuis une image saine.
Changez tous les secrets lisibles par le processus PHP ou la tâche CI : .env, clés cloud, mots de passe de base, jetons de déploiement, clés SSH.
Passez à Composer 2.10 ou plus et versionnez composer.lock.

FAQ

Comment savoir si mon application a récupéré une version malveillante ?

Cherchez les noms de paquets de cette page dans composer.lock sur toutes les branches et images construites, et comparez la date d’installation avec la période de l’attaque.

composer update suffit-il ?

Non. La charge laravel-lang lançait un voleur d’identifiants. Considérez l’environnement comme compromis et changez clés cloud, mots de passe de base de données, jetons CI et clés SSH.

Qu’a changé Packagist ?

Selon son billet du 27 mai 2026 : signalements de malware Aikido dans les métadonnées, immuabilité des versions stables et politiques de dépendances dans Composer 2.10 couvrant les versions signalées comme malveillantes.

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

An update on Composer & Packagist supply chain security (27 May 2026) — Packagist blog
Laravel Lang supply chain advisory — Snyk
Mini Shai-Hulud spreads to Packagist: malicious Intercom PHP package — Socket
Packagist supply chain attack infects 8 packages using GitHub-hosted Linux malware (23 May 2026) — The Hacker News