Hodil by se zdroj pro podobné tvrzení ;-) http://www.webmin.com/exploit.html
Jádro pudla bylo v tom, že vyráběli buildy z lokálního repozitáře synchronizovaného s GitHubem. Někdo jim naboural servery a upravil lokální zdrojáky takovým způsobem, že nedošlo k jejich opravě při synchronizaci repozitářů. Následný build pak vyrobil kompromitovaný balíček.
Prý začali dělat buildy z čisté kopie zdrojáků na githubu, aby se to neopakovalo.