刚刚，日本首相高市早苗发了一条推：
今晚请大家检查自己的网站是不是用了 PHP，补丁一出马上打；来不及的话，先把网站停掉
考虑到目前 70% 的网站是基于 php 的，众多国家网站临时下线，全球服务器来了此大逃杀
发生了什么
就在刚刚，一连串的高危漏洞被爆了出来：
https 证书：印度证书机构 eMudhra 的 8 张 CA 证书被攻破，谁都能用它冒充任何网站
PHP 高危漏洞：攻击者不用登录就能在服务器上执行代码，补丁发布前一天细节就泄露了
Node.js 高危漏洞：同一天修了一个能远程执行代码的漏洞
再往前几天，Nginx 一次修了 5 个漏洞，Linux 修了一个虚拟机逃逸
“想象一下你有一个用 Go + PHP + NodeJS + nginx 的网站在 Linux（内核提交 c6e50df8 之前）上运行，通过 HTTPS 提供服务，使用由 eMuhdra 签发的 TLS 证书”...这辈子有了
证书：谁都能冒充任何网站
先说下当前互联网下的 HTTPS 安全
你打开一个现代网站，都会带有一张身份证书，来证明比如“我就是 api.openai.com”。证书的签名来自中间证书，中间证书的签名则来自根证书谁拿到中间证书的私钥，谁就能给域名签证书
然后...世界的草台班子时间到了eMudhra（证书品牌叫 emSign）有 8 张中间证书。然后草台班子原理发力了，这里的私钥本该是 116 位的随机数，但实际只用了...几个很小的数字，比如其中一张证书的私钥是「4」
于是，安全研究员 Scott Helme 用时不到 1 秒的时间，把 8 把私钥全部算出来（你甚至可以用一句 prompt 让 claude 给你算出来）
这个事情在用户侧没啥感知，但服务器那边就麻烦，没这么快能修好全部服务器，截至发文时，用 macOS 自带的 curl 访问挂在这批证书下面的测试站，照样验证通过：
于是很多的服务器遭了殃，包括各种CI 流水线、curl | sh 安装脚本，还有出厂就不再更新的物联网设备，都在这个范围里。这批证书要到 2039 年才过期
PHP：寄
长话短说：极大漏洞，老版本 php 还不支持修，赶紧升级吧
当天细节就漏了出去，工具的演示视频也上了推：
这两个漏洞被叫做 PHP2Shell，出在 PHP 引擎本身：
并不需要用户或者管理员干什么，PHP 就已经中招
WordPress、Drupal、Joomla 的最新版都被演示了远程执行代码，只有一个 Hello World 页面的网站也一样
受影响的版本最早到 PHP 5.4，2012 年的代码
Cloudflare 在补丁发布前 6 个多小时，就已经看到了针对 PHP 网站的攻击
升级 WordPress 换不掉底下的 PHP，要修就得升级 PHP 本身，再重启所有 PHP 进程
AI 找到的
然后这两个漏洞，emmmmm....是 OpenAI 牵头的 Patch the Plane 找到的：Calif 用的是 GPT‑5.6 Sol，Wiz 用了 Gemini 4 Argon 和 GPT‑5.6 Sol，在这个过程中OpenAI 的 Codex Security 团队也参与了
OpenAI 把这叫“防御者窗口”：AI 比攻击者先找到漏洞，给防御方留出准备时间
emmmmm...
然后是 Node.js
同一天，Node.js 的安全更新也到了
这次修了 10 个漏洞，最严重的是 Brotli 解码器（一种常用的网页压缩格式）越界写，可以远程执行代码；另外两个能绕过证书的主机名校验；自带的根证书也顺手去掉了 eMudhra 那批
要更新到 22.23.4、24.22.1 或 26.12.1，已经停止维护的 Node.js 20 及更早版本，不会有补丁
最后
哎....总感觉更大的事情还在后面....