歸藏(guizang.ai)(@op7418):今天安全领域的整个时间线上都是两件大事，对所有的互联网用户和产品应该都有影响。第一个是有个印度证书颁发机构用了一个非常容易被猜到的数字当做私钥：强度极弱，基本上任何人都能猜出来。其中一个私钥就是个位数"4"，原本长达七十多位的密钥变成了单个数字 4；剩下的也是 56、66、115、155 这种数字。这相当于给保险柜设了个密码"4"，试不到十下就能试出来。更离谱的是，多次审计居然都没发现这几个私钥有问题。目前 Chrome 和 Firefox 已经在几个小时内把这些私钥拉黑了，官方也把这 8 个私钥全部吊销。真是很难想象这个机构草台班子到了什么程度。现在浏览器端是安全的，但非浏览器端可能需要排查一下，尤其是你自己的项目如果涉及类似证书，建议让 AI 帮忙查一下。第二个是严重 PHP 漏洞：这个漏洞极其严重，官方说唯一真正安全的做法是立刻升级，但很多老旧网页已经多年没有升级过了。更关键的是，有研究人员在 PHP 官方还没修复漏洞的情况下就直接公开了细节，导致所有人都能利用它发起攻击。该漏洞是 OpenAI 资助的 Patch the Plane 项目用 GPT-5.6 Sol 发现的，无需登录即可远程拿下服务器。漏洞覆盖面极大，比如大量依赖 PHP 的 WordPress 站点都会受到攻击。目前荷兰议会、荷兰国家安全中心、芬兰中央政府网站，以及日本著名的 Pixiv 应用都因此关闭了一段时间。感觉 AI 出来以后，攻防对抗变得异常剧烈，漏洞暴露和修复的频率都极快。 OpenAI 还表示，他们已经发现了更多具有这种规模效应的漏洞。

2026.10.21 15:39

今天安全领域的整个时间线上都是两件大事，对所有的互联网用户和产品应该都有影响。第一个是有个印度证书颁发机构用了一个非常容易被猜到的数字当做私钥：强度极弱，基本上任何人都能猜出来。其中一个私钥就是个位数"4"，原本长达七十多位的密钥变成了单个数字 4；剩下的也是 56、66、115、155 这种数字。这相当于给保险柜设了个密码"4"，试不到十下就能试出来。更离谱的是，多次审计居然都没发现这几个私钥有问题。目前 Chrome 和 Firefox 已经在几个小时内把这些私钥拉黑了，官方也把这 8 个私钥全部吊销。真是很难想象这个机构草台班子到了什么程度。现在浏览器端是安全的，但非浏览器端可能需要排查一下，尤其是你自己的项目如果涉及类似证书，建议让 AI 帮忙查一下。第二个是严重 PHP 漏洞：这个漏洞极其严重，官方说唯一真正安全的做法是立刻升级，但很多老旧网页已经多年没有升级过了。更关键的是，有研究人员在 PHP 官方还没修复漏洞的情况下就直接公开了细节，导致所有人都能利用它发起攻击。该漏洞是 OpenAI 资助的 Patch the Plane 项目用 GPT-5.6 Sol 发现的，无需登录即可远程拿下服务器。漏洞覆盖面极大，比如大量依赖 PHP 的 WordPress 站点都会受到攻击。目前荷兰议会、荷兰国家安全中心、芬兰中央政府网站，以及日本著名的 Pixiv 应用都因此关闭了一段时间。感觉 AI 出来以后，攻防对抗变得异常剧烈，漏洞暴露和修复的频率都极快。 OpenAI 还表示，他们已经发现了更多具有这种规模效应的漏洞。