{"data":{"id":1772,"lang":"cs","title":"Útok na dodavatelský řetězec Laravel-Lang otrávil přes 700 verzí PHP balíčků, krade přihlašovací údaje AWS, GCP i kryptopeněženky","summary":"Útok z 22. května přepsal přes 700 verzovacích tagů balíčků Laravel-Lang škodlivým 5 900řádkovým PHP kradečem cílícím na AWS, GCP, Azure, kryptopeněženky i soubory .env.","category":"technology","category_label":"Technologie","published_at":"2026-05-23T14:02:16Z","updated_at":"2026-05-23T14:02:16Z","url":"https://techtools.cz/tools/news/clanek/1772-utok-na-dodavatelsky-retezec-laravel-lang-otravil-pres-700-verzi-php-balicku","api_url":"https://techtools.cz/news-api/v1/articles/1772?lang=cs","markdown_url":"https://techtools.cz/news-api/v1/articles/1772.md?lang=cs","image_url":"https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgkqwlAgmL-HrE2pSx8xqfY4-AyYZ59wK4x5AWtnCXSHRoBO1wcYTpWw42Fe6VRoAT77e914MSqZW56fKX95IueHTCrk10XNn2Yxh7CU8iCdX5lzFowGeVkolW-4E3po81w9pFMsaLR_r85abtUv3bwvQMa6pP1BAiSj4DrmapTiYr1twfV61tvGdWJRgs8/s1700-e365/lang-hack.jpg","word_count":189,"reading_time_minutes":1,"sources":[{"url":"https://thehackernews.com/2026/05/laravel-lang-php-packages-compromised.html","domain":"thehackernews.com"},{"url":"https://www.aikido.dev/blog/supply-chain-attack-targets-laravel-lang-packages-with-credential-stealer","domain":"aikido.dev"},{"url":"https://socket.dev/blog/laravel-lang-compromise","domain":"socket.dev"}],"translation":{"lang":"en","id":1699,"title":"Laravel-Lang Supply Chain Attack Poisons 700+ PHP Package Versions With Credential Stealer Targeting AWS, GCP and Crypto Wallets","url":"https://techtools.cz/tools/news/article/1699-laravel-lang-supply-chain-attack-poisons-700-php-package-versions-with","api_url":"https://techtools.cz/news-api/v1/articles/1699?lang=en"},"content":"Útok na dodavatelský řetězec odhalený 22. května kompromitoval čtyři rozšířené PHP balíčky Laravel-Lang — laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes a laravel-lang/actions. Útočníci přepsali přes 700 historických verzovacích tagů tak, aby ukazovaly na škodlivé commity ve forku, který sami ovládali. Škodlivý kód se nikdy nedostal do oficiálních repozitářů, ale Composer stahuje tagy podle jména, takže každý, kdo přeinstaloval konkrétní verzi, dostal backdoor.\n\nUžitečné zatížení je zhruba 5 900řádkový PHP kradeč přihlašovacích údajů rozdělený do patnácti specializovaných modulů. Sbírá přístupové klíče AWS, výchozí přihlašovací údaje aplikací GCP, přístupové tokeny Azure, autentizační tokeny DigitalOcean, Heroku, Vercel, Netlify, Railway a Fly.io, peněženky MetaMask, Electrum a Phantom, data prohlížečů a všechny soubory .env, které najde. Výsledky šifruje pomocí AES-256 a posílá je na flipboxstudio[.]info/exfil, poté se sám smaže z disku, aby omezil forenzní stopy.\n\nBezpečnostní výzkumníci ze Socket, Aikido a SecurityOnline potvrdili, že útok zneužil chování GitHubu, které umožňuje, aby tagy repozitáře ukazovaly na commity ve forku téhož repozitáře. Správci mezitím škodlivé tagy zneplatnili, ale každý CI pipeline, který v dotyčném okně spustil composer install, by měl považovat své cloudové údaje a session tokeny za plně kompromitované a okamžitě je vyměnit."}}