从网络安全的角度来看，互联网正经历一个糟糕的日子。路透社报道，全球的政府网站纷纷下线，因为 AI 发现了影响编程语言 PHP 的关键安全漏洞。这些问题严重到美国国家安全局（NSA）建议使用 PHP 的机构立即更新，或者在能够更新之前将其系统下线。但是，PHP 的更新并不是网络安全人员在周三面临的唯一问题。开源 JavaScript 运行环境 Node.js 也发布了自己的安全惊喜，宣布在其最新版本中修复了四个高严重性漏洞。其中一个漏洞允许远程代码执行，另外两个可能允许 TLS 验证绕过，潜在地使攻击者能够绕过验证服务器身份的检查。此外，流行的开源代理 LiteLLM 被攻击者入侵，注入了恶意代码，该公司在周三下午的一篇帖子中分享了这一情况。帖子指出，恶意工件已发布到 PyPI（Python 软件包索引）、Docker Hub 和 GHCR（GitHub 容器注册中心）。据称，这些恶意代码包括一个针对云凭据、密码和 AI 服务凭据的信息窃取程序，以及一个允许黑客在受损系统上执行命令的远程访问木马。LiteLLM 表示，它已经删除了恶意版本和镜像，并建议任何安装了这些版本的人遵循其提供的修复指导。而且，还有更多！印度的一家证书机构 eMudhra 其私钥也遭到泄露，可能使攻击者能够颁发伪造证书并冒充合法网站。安全专家形容这是一项巨大的清理工作，称其规模“超过 Heartbleed”。（后者是指在 OpenSSL 加密软件库中发现的重要安全漏洞。）这些问题接踵而至，之前还发生了其他安全漏洞和黑客攻击，包括公司在周一宣布的云原生数据库即服务 TiDB Cloud 的数据泄露。其他黑客还利用了四个已修复的 Plex 媒体服务器漏洞，统称为 Plex2Shell。而上周，网络安全公司 BeyondTrust 警告客户修补其远程支持产品中的一个关键零日漏洞，该漏洞自八月份以来就一直被利用。虽然这些问题并不相互关联，但它们接连出现突显了网络安全团队如今面临的挑战。特别重要的是，AI 可能会使攻击者在发现漏洞后更容易加以利用。当您通过我们文章中的链接进行购买时，我们可能会赚取少量佣金。这不会影响我们的编辑独立性。Sarah 自 2011 年 8 月以来一直在 TechCrunch 担任记者。她在之前在 ReadWriteWeb 工作超过三年后加入了公司。在成为记者之前，Sarah 在包括银行、零售和软件等多个行业的 IT 领域工作。您可以通过电子邮件 [email protected] 或通过 Signal 上的加密消息 sarahperez.01 联系或验证 Sarah 的联系。查看个人简历