Compromission de la chaîne d'approvisionnement affectant l'écosystème Laravel Lang

Laravel Lang est un projet open source proposant des paquets de localisation et d'internationalisation pour les applications Laravel, distribués via Packagist, le registre officiel de paquets Composer pour PHP. Le 23 mai 2026, une compromission de la chaîne d'approvisionnement touchant l'organisation GitHub Laravel-Lang a été découverte par les équipes de Socket et d'Aikido. Des acteurs malveillants ont manipulé le système d'étiquettes (tags) de GitHub pour faire pointer des étiquettes de version légitimes vers un fork malveillant, introduisant une porte dérobée permettant l'exécution de code à distance (RCE) dans plus de 700 versions des paquets laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes et laravel-lang/actions. Les versions compromises contiennent un fichier malveillant nommé src/helpers.php, exécuté automatiquement via l'entrée autoload.files du fichier composer.json. Ce code malveillant agit comme un voleur d'informations multiplateforme permettant d'exfiltrer les données sensibles présentes sur les systèmes affectés. Il cible notamment les fichiers .env, les clés SSH, les jetons CI/CD, les identifiants cloud (AWS, Azure, GCP), les jetons Kubernetes, les identifiants GitHub, GitLab et Bitbucket, ainsi que diverses informations stockées sur les postes de développement et les environnements serveur. Cette compromission permettrait à un acteur malveillant d'exécuter du code arbitraire à distance et d'exfiltrer des données sensibles des systèmes utilisant les versions compromises des paquets Laravel Lang.

• Les paquets Composer laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes et laravel-lang/actions dans leurs versions compromises ;
• Tout système (poste de développement, serveur CI/CD, environnement de production) ayant exécuté composer install ou composer update en intégrant l'une des versions affectées est considéré comme compromis.