印度CA机构签发的8张证书，私钥本该是随机数，实际只是一到三位的小整数，不到一秒就被试出来。同一个窗口里，PHP与Node.js也各爆高危漏洞，互联网的地基被连着敲了三下。

刚刚，日本首相高市早苗发了一条推：

今晚请大家检查自己的网站是不是用了PHP，补丁一出马上打；来不及的话，先把网站停掉

考虑到目前70%的网站是基于php的，众多国家网站临时下线，全球服务器来了此大逃杀

发生了什么

就在刚刚，一连串的高危漏洞被爆了出来：

https证书：印度证书机构eMudhra的8张CA证书被攻破，谁都能用它冒充任何网站

PHP高危漏洞：攻击者不用登录就能在服务器上执行代码，补丁发布前一天细节就泄露了

Node.js高危漏洞：同一天修了一个能远程执行代码的漏洞

再往前几天，Nginx一次修了5个漏洞，Linux修了一个虚拟机逃逸

“想象一下你有一个用Go+PHP+NodeJS+nginx的网站在Linux（内核提交c6e50df8之前）上运行，通过HTTPS提供服务，使用由eMuhdra签发的TLS证书”…这辈子有了

证书：谁都能冒充任何网站

先说下当前互联网下的HTTPS安全

你打开一个网站，网站出示一张证书，证明“我就是api.openai.com”。证书上的签名来自一张中间证书，中间证书的签名来自根证书，预装在你的系统里谁拿到中间证书的私钥，谁就能给域名签证书

然后…世界的草台班子时间到了eMudhra（证书品牌叫emSign）有8张中间证书，私钥本该是116位的随机数，实际只是1到3位的小整数，从1往上试，最多255次就能试出来

于是，安全研究员ScottHelme用时不到1秒的时间，把8把私钥全部算出来（你甚至可以用一句prompt让claude给你算出来）

这个事情在浏览器测比较麻烦，服务器那边就麻烦，没这么快能修好，截至发文时，用macOS自带的curl访问挂在这批证书下面的测试站，照样验证通过：

调大模型API的服务器、CI流水线、curl|sh安装脚本，还有出厂就不再更新的物联网设备，都在这个范围里。这批证书要到2039年才过期

PHP：寄

长话短说：极大漏洞，老版本php还不支持修，赶紧升级吧

当天细节就漏了出去，工具的演示视频也上了推：

这两个漏洞被叫做PHP2Shell，出在PHP引擎本身：

不用登录，你写的第一行代码还没运行，PHP就已经中招

WordPress、Drupal、Joomla的最新版都被演示了远程执行代码，只有一个HelloWorld页面的网站也一样

受影响的版本最早到PHP5.4，2012年的代码

Cloudflare在补丁发布前6个多小时，就已经看到了针对PHP网站的攻击

升级WordPress换不掉底下的PHP，要修就得升级PHP本身，再重启所有PHP进程

AI找到的

然后这两个漏洞，emmmmm….是OpenAI牵头的PatchthePlane找到的：Calif用的是GPT‑5.6Sol，Wiz用了Gemini4Argon和GPT‑5.6Sol，在这个过程中OpenAI的CodexSecurity团队也参与了

OpenAI把这叫“防御者窗口”：AI比攻击者先找到漏洞，给防御方留出准备时间

emmmmm…

然后是Node.js

同一天，Node.js的安全更新也到了

这次修了10个漏洞，最严重的是Brotli解码器（一种常用的网页压缩格式）越界写，可以远程执行代码；另外两个能绕过证书的主机名校验；自带的根证书也顺手去掉了eMudhra那批

要更新到22.23.4、24.22.1或26.12.1，已经停止维护的Node.js20及更早版本，不会有补丁