PHP:s officiella Git-server har hackats, rapporterar Bleeping Computer. Under angreppet ska någon mixtrat med kodbasen och lagt till två skadliga överlämningar och lyckats få båda godkända som om de var utvecklade av någon av PHP-hanterarna Rasmus Lerdorf eller Nikita Popov.

Angriparna ska använt överlämningarna för att lägga in en bakdörr som skulle göra det enkelt att fjärraktivera kod på webbsidor med den korrupta versionen av PHP.

PHP är ett skriptspråk som används för att skriva dynamiska webbsidor. PHP-koden läggs in i webbsidans HTML-kod på servern och exekveras där varje gång någon hämtar webbsidan. På serversidan driver PHP hela 79 procent av internets webbsidor.

I ett mejl till Bleeping Computer skriver Nikita Popov att den första förändringen upptäcktes ett par timmar efter att den gjordes. På grund av att den var uppenbart skadlig togs den bort direkt. Ändringen ska ha gjorts i utvecklingsversionen av PHP 8.1 som är tänkt att släppas senare i år.

Händelsen håller nu på att utredas. Redan nu är det dock klart att anfallet ska kommit från en kapad git.php.net-server snarare än ett kapat Git-konto.

Läs också: Cyberattack släckte ned sändningar hos tv-kanal