两则网络安全新闻

choukouun

搬自Solidot

PHP 将释出紧急安全更新修复高危漏洞
PHP 安全团队发布通知，将于 10 月 21 日 14:00 UTC 发布重要安全更新，它建议所有 PHP 用户提前做好准备，以便在更新发布后立即升级。任何运营 PHP 网站的用户都应为此做好准备。PHP 计划发布补丁修复两个高危漏洞，其威胁评分 9.2/10。安全公司 watchTowr 表示漏洞影响 PHP 5 之后的所有版本。安全公司 Sansec 认为在补丁释出 15 分钟之后就会出现利用漏洞的大规模攻击。其它多家安全公司也都督促 PHP 网站的管理员做好准备。安全研究人员估计，会有约 130 万台联网主机可能受到影响。

https://www.php.net/archive/2026.php#2026-10-20-1




印度 CA eMudhra 的私钥泄漏，相关证书不再被信任
印度 CA eMudhra 八个中间证书的私钥泄漏。攻击者能利用私钥为任何域名签发伪造证书。更荒诞的是，eMudhra 的私钥非常非常简单，简单到就是数字 4，此外还有数字 56、115、66、155、156、230 和 237。这些私钥可以在一秒内还原出来。Chrome 于 10 月 17 日、苹果于 19 日、微软和 Mozilla 于 20 日屏蔽了 eMudhra 的相关证书。

https://emudhra.we-have-a-problem.com/

吴怀在

利好什么股票？

袄_偶滴小乔

怪不得我玩的手游紧急更新了

choukouun

吴怀在 发表于 2026-10-21 18:00
利好什么股票？

或利好S1关站维护

紧那罗

现在确实，漏洞修复感觉变得更尴尬了。AI 的逆向工程能力太强了，更何况是这种开源项目，看到你修复了什么漏洞，立马就知道怎么利用这个漏洞进行攻击了。

论坛助手,iPad

格林达姆

泥潭是discuz吧，这不得关站维护了

commcody

我说为什么P站大白天就紧急关站维护了

colodes

S1用的还是php7.3 没有安全补丁 过两个小时补丁发下来等于漏洞也公开 php运行权限=漏洞权限 安全风险非常大 最好关站一段时间

ashunicorn

还有cygames的游戏，技术力太强了

ttacg

还真关了

posthoc

阿三太变态了，顺便安卓用户可以自己去系统设置里取消相关证书。

—— 来自 鹅球 v4.0-alpha

takami

posthoc 发表于 2026-10-22 15:00
阿三太变态了，顺便安卓用户可以自己去系统设置里取消相关证书。

—— 来自 鹅球 v4.0-alpha ...

问下怎么设置
还在用被放弃的系统

posthoc

takami 发表于 2026-10-22 15:34
问下怎么设置
还在用被放弃的系统

每个国产系统可能不一样？vivo是安全-更多安全设置-受信任的凭据，然后里面找到四个eMudhra的证书，反正差不多都在安全设置里面找吧。

mhss

昨晚一堆网站各种503我还以为是自己的梯子出了问题还重启了一次路由器，但是一看S1也上不了就摸不着头脑了。

takami

posthoc 发表于 2026-10-22 15:40
每个国产系统可能不一样？vivo是安全-更多安全设置-受信任的凭据，然后里面找到四个eMudhra的证书，反正 ...

谢谢，我研究下

发现居然没有


再研究了下好像这证书是25年生成的

我1x年的手机系统里根本没有，笑死

两个路人

本周安全的地狱笑话，其实不止这俩。比起草台论，还能加个奴工论

顶配黑客花重金租下超算，准备暴力破解 CA 私钥。
刚敲下回车，脚本在第 0.001 秒停了。
屏幕显示：密码是 “4”。
他愣了半晌，切出输入法，顺手敲了串全角数字：
１２７.０.０.１
价值百万的 Node.js 网关瞬间敞开大门。
他往门里丢了个超大垃圾包，把 PHP 进程活活撑死。
本想看个烟花，结果断气的 PHP 突然坐起来，恭敬地递给他一把 Root 钥匙。
窗外，天亮了。
隔壁 Go 程序员正对着三年前离职同事留下的四百个无源码二进制文件，安静地流泪
https://x.com/celesfleur/status/2113231572321095827

1、10/21 22:04｜PHP 藏了 14 年的高危漏洞
全球约 70% 的网站跑在 PHP 上。
两个漏洞能让黑客不用登录，就远程控制服务器，评分 9.2。
这次是 OpenAI 牵头、研究员用 AI 挖出来的，PHP 维护者写的补丁，22 点已经发布。
但细节提前泄露，Cloudflare 已经看到有人在打。
更麻烦的是：PHP 8.1 及更老的版本官方不管了，这些网站只能裸奔。

2、10/21 23:31｜Node.js 一口气修了 10 个漏洞
现在大量网站、微服务，包括很多 AI agent 工具，底层都是 Node.js。
最严重的一个出在解压模块，同样能远程执行代码，也是 OpenAI 帮忙发现的。
用 Node.js 的，赶紧升级版本！

3、10/21 23:39｜印度证书机构 eMudhra 的私钥被算出来了
浏览器上那把「小锁」，靠的就是这类证书机构担保。
eMudhra 有 8 张中间证书，私钥生成得太弱，被安全研究员直接算了出来。
拿到私钥，就能给任何网站伪造「合法」证书，HTTPS 的锁形同虚设！！！
Chrome、Firefox、Apple、微软已经紧急拉黑，记得把浏览器和系统更新到最新。

4、10/22 05:11｜云平台 Railway 被黑，客户密钥可能全泄
Railway 是很多开发者部署项目的云平台。
存密钥的系统被人闯进去了，客户放在上面的 Stripe、Anthropic、OpenAI 等 key 可能已经外泄，已经有人收到泄露预警。
平台紧急暂停了所有构建和部署，要求所有人马上换 key。
问题是，部署都停了，很多应用想换 key 都没法重新上线。

四件事，四个层面：
网站发动机、应用底座、HTTPS 信任链、云上的钥匙。
几乎一晚上全被捅了一遍。

Midnight.Coup

Linux 内核邮件里也爆了一批高危漏洞，虽然补丁已经在写了，但还没合并到主线
想起互联网搭积木的梗图，现在 AI 是一群愤怒的小鸟
不过往好处想，也许过几年我们就有最安全的网络环境