Via NotíciasLinux:
Ao que parece, primeiro foi comprometido via SSH o servidor minotaur.apache.org, depois os arquivos foram replicados para o resto da infraestrutura, incluindo www.apache.org. Segundo a Apache a investigação continua e por enquanto não se tem conhecimento dos usuários finais afetados, ainda que recomendem sempre efetuar a verificação da assinatura dos arquivos. (via noticiaslinux.com.br)
Saiba mais (noticiaslinux.com.br).