El ataque a PHP que nadie vio venir

midudev

Summary

Este vídeo analiza una serie de ataques a la cadena de suministro que han afectado gravemente al ecosistema de Laravel y PHP, comprometiendo más de 700 paquetes con código malicioso. El autor explica cómo se utilizaron scripts en los archivos package.json para inyectar puertas traseras y reflexiona sobre la necesidad de que gestores de paquetes como npm deshabiliten la ejecución automática de scripts por defecto. Además, se destaca que este problema no es exclusivo de JavaScript, ya que también afecta a ecosistemas como Python y Rust. El vídeo concluye con consejos prácticos para proteger el flujo de trabajo de desarrollo ante estas amenazas constantes.

Chapters

  1. 0:00PHP Supply Chain Attack
  2. 1:00Analysis of the Compromise
  3. 3:00NPM Security Improvements
  4. 4:30Broader Ecosystem Security Risks
  5. 5:30Best Practices for Defense

Topics covered

  • Ataques en el ecosistema de Laravel
  • Vulnerabilidad en Composer y paquetes
  • Propuesta de seguridad para npm
  • Ataques en otros ecosistemas: Python y Rust
  • Recomendaciones del Team PCP para seguridad
  • Prevención mediante herramientas externas

Transcript excerpt

Y lo que pasa en las mejores familias, tenemos que hablar de los ataques en el ecosistema de PHP. PHP, sí, muchas veces hablamos de JavaScript, mucha gente se queja de JavaScript. De hecho, me hizo mucha mucha gracia el comentario de Damián Catanzaro, no me salía el nombre del chico este. Damián Catanzaro me hizo mucha gracia porque, a ver si os lo encuentro a este este comentario, porque el otro día, por todos los ataques que había en el ecosistema de JavaScript comentaba esto, no estoy para volver a PHP con jQuery y luego dice, "No se está salvando un solo framework, se cancela volver a PHP. Nos quedamos en HTML con GQuery. ¿Y por qué? Porque resulta que hemos tenido un nuevo ataque, la cadena de suministro en la organización del Arabel. Más de 700 versiones históricas entre diferentes paquetes mantenidos por la comunidad del Arabel fueron comprometidos con puertas traseras para ejecuc…