两大互联网安全问题已出现，让站点管理员感到紧张。第一个涉及加密极其脆弱的TLS证书，可能影响VPN和物联网设备。另一个是严重的PHP编程语言漏洞，影响WordPress和Drupal等CMS系统。安全专家警告称，两类问题都可能导致大规模攻击并需要大规模清理工作。
PHP基金会发布了安全补丁，修复了两个严重漏洞，严重程度评分为10分制的9.2分。一份报告显示名为PHP2Shell的工具视频正在Web服务器上运行代码，包括WordPress、MediaWiki、Symphony、Drupal的最新版本以及其他基于PHP的网站。安全公司Towr声称该漏洞影响从2004年的PHP 5版本以来的所有版本，可能允许攻击者在服务器上运行自己的代码。
印度公司e Mudhra报告称，其八个中间CA证书已被泄露。私钥非常脆弱，范围从3到8位，而通常为384位，可能允许攻击者伪造网站和应用程序的凭据。Mozilla、Google和Apple已屏蔽这些被泄露的证书，但可能有macOS实用程序仍在信任它们。e Mudhra已撤销这些证书并归咎于用于生成它们的脚本。
目前最大的风险在于VPN，特别是政府试图拦截流量的地方，以及物联网设备。Filippo Valsorda警告称，这将是一项比Heartbleed更大的清理工作。网站管理员正在抓紧修补这些问题，其中一些基于PHP的网站可能会短暂停机。
来源: Engadget · 由HeadlinesBriefing整理摘要