Aanverwant incident · Composer/Packagist-supplychain · april–mei 2026
laravel-lang en Packagist-supplychainaanvallen (2026): controleer uw composer.lock
Aanvallers gebruikten gestolen GitHub-toegang om kwaadaardige tags voor echte Packagist-pakketten te publiceren. Bij laravel-lang draaide de code na installatie bij elk PHP-verzoek.
Laatst bijgewerkt
Wat er gebeurde
| Pakket | Wanneer | Uitvoering | Bron |
|---|---|---|---|
| laravel-lang/lang, http-statuses, attributes, actions | 22–23-05-2026 | Geïnjecteerde src/helpers.php in autoload.files, draait bij elk verzoek en CLI-commando | Snyk |
| intercom/intercom-php 5.0.2 | 30-04-2026 | Omgebouwd tot Composer-plugin die bij install/update een script draait | Socket |
| Acht pakketten waaronder devdojo/wave en devdojo/genesis (dev-branches) | Gemeld 23-05-2026 | postinstall-hook in package.json die een Linux-binary downloadt | The Hacker News |
Volgens Packagist gebruikten de aanvallen overgenomen GitHub-accounts en gestolen tokens; het team verwijderde getroffen versies binnen enkele minuten na detectie.
Is mijn applicatie geraakt?
# Did a project ever resolve one of the affected packages?
grep -n -E '"name": "(laravel-lang/(lang|http-statuses|attributes|actions)|intercom/intercom-php)"' composer.lock
composer show --locked | grep -E 'laravel-lang|intercom'
composer --version # 2.10+ adds dependency policies for malware-flagged versions
composer auditZo lost u het op
- Is ergens (laptop, CI, container, server) een getroffen versie geïnstalleerd: isoleren, bewijs bewaren en opnieuw opbouwen vanaf een schone image.
- Vervang alle geheimen die het PHP-proces of de CI-job kon lezen:
.env, cloudsleutels, databasewachtwoorden, deploytokens, SSH-sleutels. - Werk bij naar Composer 2.10 of nieuwer en commit
composer.lock.
FAQ
Hoe weet ik of mijn app een kwaadaardige versie heeft opgehaald?
Zoek de pakketnamen van deze pagina in composer.lock in alle branches en gebouwde images en vergelijk de installatiedatum met de aanvalsperiode.
Is composer update genoeg?
Nee. De laravel-lang-payload startte een credential stealer. Behandel de omgeving als gecompromitteerd en vervang cloudsleutels, databasewachtwoorden, CI-tokens en SSH-sleutels.
Wat heeft Packagist veranderd?
Volgens het bericht van 27 mei 2026: malwaremarkeringen van Aikido in de metadata, onveranderlijke stabiele versies en dependency policies in Composer 2.10 voor als malware gemarkeerde versies.
Bronnen
Externe links verlaten deze site. Wij hosten geen exploitcode.
- An update on Composer & Packagist supply chain security (27 May 2026) — Packagist blog
- Laravel Lang supply chain advisory — Snyk
- Mini Shai-Hulud spreads to Packagist: malicious Intercom PHP package — Socket
- Packagist supply chain attack infects 8 packages using GitHub-hosted Linux malware (23 May 2026) — The Hacker News