近期，安全研究人员披露了两个可能引发大规模网络攻击的严重漏洞。其中一项涉及加密强度极低的 TLS 证书，另一项则是影响广泛的 PHP 编程语言漏洞。安全专家警告称，这两类问题均可能导致需要大规模清理的安全事件。
PHP 漏洞波及主流 CMS 系统
根据 Ars Technica 获取的安全公告，gPHP 基金会计划于 UTC 时间 14:00（美东时间上午 10:00）发布针对两个关键 PHP 漏洞的安全补丁。该组织在 X 平台上表示，鼓励 PHP 用户提前准备更新；若详细技术信息泄露或发现活跃利用证据，将提前发布补丁。
报告显示，一款名为 PHP2Shell 的工具可在 Web 服务器上执行代码，受影响范围包括最新版本的 WordPress、MediaWiki、Symfony、Drupal 以及其他基于 PHP 的网站。安全公司 watchTowr 已证实该漏洞存在，并指出其影响自 PHP 5（2004年发布）以来的所有版本。据未经证实的报告称，该漏洞允许攻击者在运行 PHP 的服务器上执行任意代码。
安全公司 Sansec 预计，在补丁发布后的 15 分钟内，大规模攻击活动便会开始。
TLS 证书私钥泄露风险
另一个严重问题源于印度证书颁发机构 eMudhra 的八个中间 CA 证书被泄露。eMudhra 声明，这些证书链接至 Mozilla、Microsoft、Apple 和 Chrome 根程序以及许多下游信任商店所信任的根源。
核心问题在于相关私钥的加密强度极低，长度仅为 3 至 8 位，远低于通常所需的 384 位。据 Hacker News 及其他媒体报道，eMudhra 使用的具体私钥数值为 4、56、66、115、155、156、230 和 237。这意味着攻击者只需测试 256 个可能的数字即可恢复这些私钥，进而伪造一系列网站和应用程序的凭证。
由于 Cloudflare 等主机服务商、浏览器、操作系统、物联网设备及其他互联网连接设备广泛信任 eMudhra 的证书，一旦攻击者伪造域名证书，便可冒充服务器并拦截流量。
行业响应与潜在影响
Mozilla、Google 和 Apple 已在其浏览器中封锁了受损证书。然而，Mozilla 安全专家丹尼斯·杰克逊警告称，macOS 的实用程序可能会继续信任这些受损证书，并将矛头指向用于生成这些证书的脚本。
目前最大的风险集中在 VPN 领域，特别是在政府积极拦截网络流量的地区。此外，物联网设备、未经维护的服务器及网络其他部分也可能受到影响。加密工程师 Filippo Valsorda 向 Ars Technica 表示：“这将是一项大规模的清理工作，其规模甚至超过 Heartbleed 事件。”
