北京
从网络安全的角度看，这一天过得相当糟糕。据路透社报道，全球多国政府网站下线，起因是AI发现了影响编程语言PHP的关键安全漏洞。问题严重到美国国家安全局（NSA）建议使用PHP的组织要么立即更新，要么在完成更新前将系统下线。
PHP的更新并不是当天唯一让人头疼的事。开源JavaScript运行时环境Node.js也带来了自己的安全惊吓：最新版本刚刚修补了四个高危漏洞。其中一个允许远程代码执行，另外两个会导致TLS验证绕过，可能让攻击者绕过用于验证服务器身份的检查。
还有LiteLLM。这个用于将请求路由到多个大模型提供商的开源代理工具遭到攻击者入侵，被注入了恶意代码。公司在周三下午的X帖子中说明了情况，恶意制品被发布到了PyPI（Python包索引）、Docker Hub和GHCR（GitHub容器注册表）。
据描述，恶意代码包含一个信息窃取程序，目标是云凭证、密码和AI服务凭证；此外还有一个远程访问木马，可让黑客在被入侵系统上执行命令。LiteLLM表示已移除恶意版本和镜像，并建议安装过这些版本的用户按照其提供的修复指引处理。
事情还没完。印度证书颁发机构eMudhra的私钥遭到泄露，可能让攻击者签发欺诈性证书、冒充合法网站。安全从业者称这是一项规模巨大的清理工作，并形容它“比Heartbleed还大”——后者指的是OpenSSL加密软件库中的那个关键安全漏洞。
这些事件紧跟在其他安全 breaches 和攻击之后：云原生数据库服务TiDB Cloud周一宣布遭到入侵；有黑客在利用Plex媒体服务器的四个已修补漏洞，这批漏洞被统称为Plex2Shell；上周，安全公司BeyondTrust警告客户修补其Remote Support产品中的一个关键零日漏洞，该漏洞自8月起就已被利用。
这些问题彼此并无关联，但接连出现，凸显出安全团队当下面对的挑战。这一点尤其重要，因为一旦漏洞被发现，AI可能让攻击者更容易利用它们。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
