Хотел обновить сервачок, а тут такие новости.

У php хакнули собственный git, пытались вставить бекдор в версию 8.1 от имени разработчиков, сейчас изменения откатили, но релизы приостановлены, перекатились на github. И есть намёк, что хакнули ещё в 2017-м году. А это значит, что могут быть ещё закладки начиная с версии примерно 5.6.30 и выше.

Суть бекдора в том, что в HTTP_USER_AGENT можно было отправить вредоносный код. Чтобы он выполнялся в user-agent должна быть строка "zerodium".

https://www.php.net/archive/2021.php#2021-03-30-1

>30 Mar 2021

>PHP releases on hold

>As announced on the php.internals mailing list, a pair of malicious commits were made in the PHP source code repository over the weekend. These commits were immediately noticed and reverted, and thus never reached end users. The investigation into the root cause and exact scope of the compromise is still ongoing, therefore releases will be put on hold for two weeks assuming no further issues are discovered.

>Thank you for bearing with us while we endeavor to ensure that PHP is a stable and reliable platform for web development.

Алсо:
1. https://www.securitylab.ru/news/517859.php
2. https://www.opennet.ru/opennews/art.shtml?num=54858

Гит:
https://github.com/php/php-src/commit/c730aa26bd52829a49f2ad284b181b7e82a68d7d
https://github.com/php/php-src/commit/2b0f239b211c7544ebc7a4cd2c977a5b7a11ed8a