Ethan Mollick 借 PHP 漏洞与连环安全事件谈攻防加速

所以基本上，今天 PHP 出了两个关键漏洞，让任何人都能在不登录的情况下在你的服务器上运行代码，这很糟糕，然后细节在补丁发布之前就泄露了，这更糟，而且它影响 WordPress、MediaWiki、Magento、Joomla 和 Laravel，Censys 说大约有 150 万台服务器运行着没有修复的版本，于是 NSA 说“把你的系统下线”，FBI 说“把你的系统下线”，CISA、英国和 CERT-EU 都说“把你的系统下线”，然后日本首相，真正的首相，在早上 5:55 发帖告诉 4880 万人把他们的系统下线，于是所有人都把系统下线了，比如荷兰网络安全机构把自己的网站下线了，荷兰议会下线了，鹿特丹港下线了，芬兰、法国和丹麦开始撤下政府网站，维基百科宕机了，http://Archive.org 宕机了，Asana、GOG 和 Something Awful 宕机了，维也纳大学的网页邮箱不知为何也宕机了，而这还只是 PHP。因为 GitLab 也发布了一个 CVSS 10.0 的漏洞，这是他们给出的最高分，针对一个自 2014 年就存在的漏洞，所以是每一个自托管的 GitLab，长达十二年，然后 LiteLLM 1.107.0 被劫持，在每一个 wheel 和 Docker 镜像（包括 latest）中植入了凭据窃取器和远程访问木马，你甚至不需要导入它，仅仅安装就够了，而且这是今年第二次，然后 Railway 暂停了整个平台上的所有部署，因为有人进入了环境变量，所以现在每个人都必须轮换他们曾在那里存储的每一个密钥，TiDB Cloud 说有人用窃取的凭据在里面逛了大约一个月，一个勒索组织说他们拿走了 10.6 TB 数据，Zeabur 在两个月内第二次被入侵，并且正在直接关停，整个公司，Node.js 修补了远程代码执行和一个 TLS 绕过漏洞，CISA 说 Plex 正被积极利用，有人接管了 300 多个 Tor 出口中继来窃取 SSH 密码，SafePay 勒索软件已袭击了 600 多个关键基础设施组织，印度最大的银行提交了数据丢失事件报告，日本自 10 月 9 日起在网络空间处于官方紧急状态，这老实说解释了那条早上 5:55 的帖子。哦，还有 eMudhra，一家已签发超过 6000 万张证书的证书颁发机构，其全部工作就是证明网站确实是它们声称的那样，本应使用超过一百位的随机数作为私钥，而其中一个私钥是 4。就只是 4。其他的则像是 66 和 237。总之，今天是星期三。