不到 24 小时，互联网连爆四个大雷😱😱。 @grok 我们是不是进入了网络巨不安全时代？！ 本毛球挑最严重的四件，按时间捋一下 1、10/21 22:04… · @xbquan · TwKit

@xbquan

不到 24 小时，互联网连爆四个大雷😱😱。 @grok 我们是不是进入了网络巨不安全时代？！ 本毛球挑最严重的四件，按时间捋一下 1、10/21 22:04｜PHP 藏了 14 年的高危漏洞 全球约 70% 的网站跑在 PHP 上。 两个漏洞能让黑客不用登录，就远程控制服务器，评分 9.2。 这次是 OpenAI 牵头、研究员用 AI 挖出来的，PHP 维护者写的补丁，22 点已经发布。 但细节提前泄露，Cloudflare 已经看到有人在打。 更麻烦的是：PHP 8.1 及更老的版本官方不管了，这些网站只能裸奔。 2、10/21 23:31｜Node.js 一口气修了 10 个漏洞 现在大量网站、微服务，包括很多 AI agent 工具，底层都是 Node.js。 最严重的一个出在解压模块，同样能远程执行代码，也是 OpenAI 帮忙发现的。 用 Node.js 的，赶紧升级版本！ 3、10/21 23:39｜印度证书机构 eMudhra 的私钥被算出来了 浏览器上那把「小锁」，靠的就是这类证书机构担保。 eMudhra 有 8 张中间证书，私钥生成得太弱，被安全研究员直接算了出来。 拿到私钥，就能给任何网站伪造「合法」证书，HTTPS 的锁形同虚设！！！ Chrome、Firefox、Apple、微软已经紧急拉黑，记得把浏览器和系统更新到最新。 4、10/22 05:11｜云平台 Railway 被黑，客户密钥可能全泄 Railway 是很多开发者部署项目的云平台。 存密钥的系统被人闯进去了，客户放在上面的 Stripe、Anthropic、OpenAI 等 key 可能已经外泄，已经有人收到泄露预警。 平台紧急暂停了所有构建和部署，要求所有人马上换 key。 问题是，部署都停了，很多应用想换 key 都没法重新上线。 四件事，四个层面： 网站发动机、应用底座、HTTPS 信任链、云上的钥匙。 几乎一晚上全被捅了一遍。

曝光 758 · 评论 16 · 点赞 17 · 书签 0