2025年5月14日，知名Linux发行版OpenMandriva在其官方博客发布了一份措辞严厉的声明，指控有不明身份者试图通过多种手段对其发行版进行恶意破坏。这一事件迅速引发了开源社区的广泛关注与讨论。OpenMandriva团队在声明中详细披露了事件经过，并呼吁社区成员保持警惕，共同维护开源生态的安全与纯净。
事件始末：从异常提交到恶意代码植入
据OpenMandriva团队在声明中透露，5月初，项目维护人员在例行审查代码仓库时，发现了一系列异常的提交记录。这些提交来自一个此前从未参与过OpenMandriva开发的新账号，提交内容涉及对核心软件包构建脚本的修改。经初步检查，这些修改试图在构建过程中插入一段隐蔽的恶意代码，该代码会在系统安装完成后，将用户的敏感信息加密并发送至一个位于境外的服务器。
幸运的是，由于OpenMandriva的代码审查机制较为严格，该恶意提交在合并至主分支前即被识别并阻断。然而，后续调查发现，这并非孤立的攻击行为。在过去两周内，项目团队至少拦截了五起类似的尝试，攻击手法包括但不限于：伪造开发者身份提交恶意代码、诱骗维护人员点击钓鱼链接以窃取仓库权限、以及利用已知的第三方依赖漏洞进行供应链攻击。
声明核心内容：谴责破坏行为并公布应对措施
OpenMandriva团队在声明中明确表示，这些行为“严重违背了开源社区合作、透明与信任的基本原则”，是对整个开源生态系统的“蓄意破坏”。声明指出，攻击者的目标似乎是“摧毁用户对OpenMandriva的信任，甚至试图通过制造安全事件来抹黑整个发行版”。
为应对这一威胁，OpenMandriva团队宣布立即采取以下措施：
- 全面冻结代码仓库的提交权限，仅允许核心维护者进行必要的安全修复。
- 启用更严格的二次审查机制，所有合并请求必须经由至少两名资深维护者签字确认。
- 对所有历史提交进行审计，排查是否存在未被发现的恶意代码。
- 与上游安全机构（如Linux基金会、CERT协调中心）共享攻击样本，协助追查攻击者身份。
此外，OpenMandriva团队还呼吁所有用户立即更新系统至最新版本，并建议在安装或更新软件包时验证签名。声明特别强调，目前尚无证据表明任何已发布的正式版本受到污染，用户可放心使用。
社区反应：担忧与支持并存
该声明发布后，在Reddit、Hacker News以及OpenMandriva官方社区论坛引发了大量讨论。多数用户对团队迅速响应并公开透明的做法表示赞赏，认为这体现了开源项目应有的责任感。一位ID为“linux_fan42”的用户留言称：“感谢维护者们的警惕，否则后果不堪设想。这是对开源安全模型的一次考验，OpenMandriva交出了令人满意的答卷。”
但也有部分开发者表达了对开源项目安全前景的担忧。开源安全研究员Luca Rossi在个人博客中评论道：“此类针对中小型发行版的供应链攻击正变得越来越普遍。由于资源有限，许多项目难以承受高强度的安全审计。”他呼吁大型科技公司及基金会向这类社区项目提供更多的安全支持。
影响分析与未来展望
从技术角度看，此次事件虽然被及时阻止，但暴露出开源协作模式下安全审查的薄弱环节。随着开源软件在关键基础设施中的广泛应用，针对发行版构建流程的定向攻击可能成为黑客的新突破口。OpenMandriva作为一个继承了Mandriva遗产的中小规模发行版，其面临的挑战具有典型性——维护者数量有限，而攻击者可以无成本地重复尝试。
OpenMandriva团队在声明结尾表示，他们将“绝不向恶意行为妥协”，并承诺会在未来几周内发布一份详细的事件分析报告，供其他开源项目参考。同时，团队也欢迎更多的开发者加入维护队伍，共同守护这一承载着多年社区记忆的发行版。
截至发稿时，OpenMandriva的官方网站及下载服务运行正常，新一轮的安全更新已推送至所有支持的版本。此次事件究竟是一起孤立的恶意攻击，还是更大规模行动的前奏，仍有待调查。但无论如何，OpenMandriva团队此次迅捷、透明的应对方式，为其他开源项目树立了一个值得借鉴的标杆。开源精神的价值，正是在这样的考验中得以彰显。