# Útok na dodavatelský řetězec Laravel-Lang otrávil přes 700 verzí PHP balíčků, krade přihlašovací údaje AWS, GCP i kryptopeněženky

*2026-05-23 14:02 UTC · Technologie · 1 min read*

> Útok z 22. května přepsal přes 700 verzovacích tagů balíčků Laravel-Lang škodlivým 5 900řádkovým PHP kradečem cílícím na AWS, GCP, Azure, kryptopeněženky i soubory .env.

Útok na dodavatelský řetězec odhalený 22. května kompromitoval čtyři rozšířené PHP balíčky Laravel-Lang — laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes a laravel-lang/actions. Útočníci přepsali přes 700 historických verzovacích tagů tak, aby ukazovaly na škodlivé commity ve forku, který sami ovládali. Škodlivý kód se nikdy nedostal do oficiálních repozitářů, ale Composer stahuje tagy podle jména, takže každý, kdo přeinstaloval konkrétní verzi, dostal backdoor.

Užitečné zatížení je zhruba 5 900řádkový PHP kradeč přihlašovacích údajů rozdělený do patnácti specializovaných modulů. Sbírá přístupové klíče AWS, výchozí přihlašovací údaje aplikací GCP, přístupové tokeny Azure, autentizační tokeny DigitalOcean, Heroku, Vercel, Netlify, Railway a Fly.io, peněženky MetaMask, Electrum a Phantom, data prohlížečů a všechny soubory .env, které najde. Výsledky šifruje pomocí AES-256 a posílá je na flipboxstudio[.]info/exfil, poté se sám smaže z disku, aby omezil forenzní stopy.

Bezpečnostní výzkumníci ze Socket, Aikido a SecurityOnline potvrdili, že útok zneužil chování GitHubu, které umožňuje, aby tagy repozitáře ukazovaly na commity ve forku téhož repozitáře. Správci mezitím škodlivé tagy zneplatnili, ale každý CI pipeline, který v dotyčném okně spustil composer install, by měl považovat své cloudové údaje a session tokeny za plně kompromitované a okamžitě je vyměnit.

## Zdroje

- [thehackernews.com](https://thehackernews.com/2026/05/laravel-lang-php-packages-compromised.html)
- [aikido.dev](https://www.aikido.dev/blog/supply-chain-attack-targets-laravel-lang-packages-with-credential-stealer)
- [socket.dev](https://socket.dev/blog/laravel-lang-compromise)

---
TechTools News · https://techtools.cz/tools/news/clanek/1772-utok-na-dodavatelsky-retezec-laravel-lang-otravil-pres-700-verzi-php-balicku
English version: https://techtools.cz/tools/news/article/1699-laravel-lang-supply-chain-attack-poisons-700-php-package-versions-with