根据Ars Technica看到的安全发布，今天的网络状况有些混乱，原因是发现了两个严重漏洞。第一个问题涉及具有极其弱加密的TLS证书，可能影响从VPN到物联网设备的一切。另一个是严重的PHP编程语言漏洞，影响包括WordPress和Drupal在内的内容管理系统。安全专家表示，这两个问题可能导致大规模攻击，并需要进行大规模清理。gPHP基金会在X上表示，它将发布两个严重漏洞的安全补丁，这些漏洞在严重性等级上评为9.2分（满分10分）。在今天UTC时间14:00（东部时间上午10点）发布之前，该组织表示“鼓励PHP用户准备进行更新”，并补充说，如果细节公开或出现活动利用证据，将提前发布。“该公告是在一份报告之后发布的，该报告显示了一个名为PHP2Shell的工具在包括最新版本的WordPress、MediaWiki、Symphony、Drupal和其他基于PHP的网站的网络服务器上运行代码。安全公司watchTowr声称已确认该漏洞，且该漏洞影响从PHP 5（2004年）开始的每一个版本。“根据一份未经证实的报告，该漏洞将允许攻击者在运行PHP的服务器上运行自己的代码，可能接管服务器，”watchTowr关于该漏洞的常见问题解答中指出。另一家公司Sansec表示，它预计“在发布后的15分钟内将开始大规模攻击。”鉴于这一切，网站管理员可能正在努力修补这一问题，因此一些基于PHP的网站在此期间可能会短暂停机。关于TLS证书的另一个问题则是完全不同的一回事。位于印度的公司eMudhra表示，其八个中间CA证书已经被泄露，这些证书“链接到Mozilla、Microsoft、Apple和Chrome根程序所信任的根证书以及许多下游信任库。”问题在于私钥很弱，可能让攻击者伪造一系列网站和应用的凭证。被泄露的私钥大小从三位到八位，而不是通常的384位。据Hacker News和其他报道，eMudhra使用的私钥为4、56、66、115、155、156、230和237。这将允许任何人通过测试仅256个可能的数字来恢复它们。eMudhra的证书在像Cloudflare这样的主机，以及连接到互联网的浏览器、操作系统、物联网（IoT）和其他设备中被广泛信任。一旦他们伪造域证书，攻击者可以利用这些域来冒充服务器并拦截流量。Mozilla、Google和Apple已经为他们的浏览器封锁了被泄露的证书。然而，Mozilla的安全专家Dennis Jackson警告说，macOS的某个实用程序可能会继续信任这些被泄露的证书，因为它不检查撤销信息——这也适用于许多其他客户端。eMudhra已经撤销了这八个证书，并对此归咎于用于生成这些证书的脚本。目前最大风险主要在于VPN，特别是在政府积极尝试拦截流量的情况下。然而，它也可能影响物联网设备、未维护的服务器和网络的其他部分。“这将是一项大规模的清理工作，比Heartbleed还要多，”密码学工程师Filippo Valsorda在接受Ars采访时表示，指的是2014年导致大规模攻击的之前的TLS漏洞。