网络安全遭遇至暗时刻：PHP、Node.js 及 LiteLLM 同日曝出高危漏洞

从网络安全角度来看，互联网今天过得很糟糕。据 Reuters 报道，AI 发现了影响编程语言 PHP 的多个严重安全漏洞，全球各地政府网站随之纷纷下线。问题严重到美国国家安全局（NSA）建议在系统中使用 PHP 的组织立即更新，否则先把系统下线，等更新完再上线。

不过周三让安全人员头疼的不止这个 PHP 更新。开源 JavaScript 运行时环境 Node.js 也带来了自己的安全意外，公布其最新版本刚刚修补了四个高危漏洞。其中一个可导致远程代码执行，另外两个本可绕过 TLS 验证，让攻击者躲过用于核实服务器身份的检查。

此外，LiteLLM 公司周三下午在 X 上发帖称，这个用于将请求路由到多家 LLM 提供商的流行开源代理被攻击者入侵并注入了恶意代码。帖子里提到，被污染的恶意文件已发布到 PyPI（Python Package Index）、Docker Hub 和 GHCR（GitHub Container Registry）。

据报道，恶意代码包含一个窃取器，专门针对云凭证、密码和 AI 服务凭证，此外还有一个远程访问木马，允许黑客在受感染的系统上执行命令。

LiteLLM 表示，目前已移除相关的恶意版本和镜像，并建议任何安装了这些内容的用户遵循其提供的修复指南。

而且，还有更多坏消息！印度证书颁发机构 eMudhra 的私钥遭到泄露，攻击者可能借此签发欺诈证书，伪装成合法网站。安全专家称这是一项大规模的清理工作，其影响“比Heartbleed”更严重。（Heartbleed 指 OpenSSL 加密软件库中曾存在的严重安全漏洞）。

这些问题紧随其他安全事故与黑客攻击而来，包括云原生即数据库服务 TiDB Cloud 的数据泄露事件，该公司已于周一发布公告。其他黑客正在利用四个已修补的 Plex Media Server 漏洞，这些漏洞合称为 Plex2Shell。此外，上周网络安全公司 BeyondTrust 还提醒客户修复其 Remote Support 产品中存在的一个严重 0-day 漏洞，该漏洞自 8 月起就已被利用。

尽管这些问题彼此独立，但它们接踵而至的现状凸显了安全团队当前面临的挑战。这一点尤为重要，因为 AI 可能让攻击者更容易利用已发现的安全漏洞。