昨天整个互联网安全圈都炸了。几个高危漏洞同一天集中爆出来，影响范围大到什么程度呢？就连日本首相高市早苗都亲自发推，让所有人赶紧检查自己的网站用没用 PHP，补丁出了马上打，来不及的话，先把网站停掉。荷兰议会、荷兰国家安全中心、芬兰中央政府的网站，还有日本的 Pixiv，全都临时下线了。

先说第一件事，一个印度的证书颁发机构 eMudhra，搞出了一个匪夷所思的操作。

简单解释一下背景。你每天上网看到网址前面那个小锁头，就是 HTTPS 证书在保护你。网站出示证书，证明“我就是我”，这个证书的背后有一把私钥，理论上应该是一个七十多位的随机数，别人根本猜不到。

结果 eMudhra 这家机构的 8 张中间证书，私钥全是几位数的小整数。最离谱的一个，私钥就是个位数“4”。剩下的也就是 56、66、115、155 这种数字。一个安全研究员用时不到 1 秒，就把 8 把私钥全部算了出来。你甚至可以用一句话让 AI 帮你算。

这意味着什么？谁拿到这些私钥，谁就能冒充任何网站。Chrome 和 Firefox 反应很快，几个小时内就把这批证书拉黑了。但问题是，浏览器这边堵住了，服务器那边还没修好。你平时用的很多后台服务、CI 流水线、curl 安装脚本，还有那些出厂之后就再也不更新的物联网设备，可能还在信任这批证书。更要命的是，这批证书要到 2039 年才过期。

然后说第二件事，PHP 漏洞。

这个漏洞叫 PHP2Shell，出在 PHP 引擎本身。攻击者不需要登录，甚至你写的第一行代码还没运行，PHP 就已经中招了。WordPress、Drupal、Joomla 最新版全都被演示了远程执行代码，哪怕你的网站只有一个 Hello World 页面也一样。受影响的版本最早追溯到 2012 年的 PHP 5.4。考虑到全球大概 70% 的网站底层都跑着 PHP，这个覆盖面可以说是灾难级别的。

更糟糕的是，有研究人员在官方补丁还没发布的时候，就把漏洞细节和利用工具直接公开了。Cloudflare 在补丁发布前 6 个多小时，就已经监测到了针对 PHP 网站的攻击流量。

这个漏洞是怎么发现的呢？OpenAI 有一个叫 Patch the Plane 的安全项目，用 GPT-5.6 Sol 找到的。OpenAI 管这叫“防御者窗口”，意思是 AI 比攻击者先发现漏洞，给防御方争取准备时间。听起来很美好，但细想一下，AI 发现漏洞的能力在变强，攻击者手里同样有 AI，这场攻防对抗只会越来越快、越来越猛。

最后还有 Node.js，同一天也发布了安全更新，一口气修了 10 个漏洞。最严重的一个出在 Brotli 解码器上，可以远程执行代码。另外两个能绕过证书的主机名校验。Node.js 的根证书列表也顺手把 eMudhra 那批去掉了。

再往前几天，Nginx 一次修了 5 个漏洞，Linux 修了一个虚拟机逃逸。有人在推上开玩笑说：想象一下你有一个用 Go 加 PHP 加 Node.js 加 Nginx 的网站，跑在 Linux 上，HTTPS 证书还是 eMudhra 签发的，那这辈子算是齐了。

这一轮连环爆，真正让人不安的地方在于：AI 正在大幅加速漏洞的发现速度，OpenAI 自己也说了，他们已经找到了更多同等规模的漏洞。以前一个高危漏洞可能好几年才被挖出来，现在 AI 一扫描，几天就出结果。防御方能用，攻击方也能用。这场安全军备竞赛，才刚开始。

转载请注明：拈花古佛 » 互联网安全炸了一圈：证书、PHP、Node.js 同一天集体出事