网络安全界遭遇“至暗时刻”：PHP、Node.js及LiteLLM接连曝出高危漏洞，专家称其影响超越“心脏滴血”

【科技24时区】周三的全球互联网似乎经历了一场精心策划的“集体休克”。据路透社报道，从政府网站到各类企业系统，全球范围内的网络服务大面积瘫痪或处于高度警戒状态。这场危机的导火索并非单一的黑客攻击，而是人工智能技术被用于挖掘并利用了编程语言PHP中的关键安全漏洞。事态之严峻，以至于美国国家安全局（NSA）不得不紧急介入，建议所有使用PHP构建系统的机构立即更新补丁，或在彻底修复前将系统离线隔离。

然而，对于网络安全从业者而言，这仅仅是噩梦的开始。就在PHP漏洞引发震荡的同时，开源JavaScript运行环境Node.js也抛出了一枚重磅炸弹。在其最新发布的版本中，四个高危漏洞被悄然修补。其中，一个漏洞允许远程代码执行——这意味着攻击者可以像控制本地程序一样操控服务器；另外两个漏洞则涉及TLS验证绕过，这相当于让攻击者能够伪装成合法服务器，从而在用户毫无察觉的情况下窃取数据或植入恶意软件。这种对信任机制的直接挑战，比单纯的代码执行更具隐蔽性和破坏力。

更令人担忧的是，AI代理框架LiteLLM也未能幸免。这家为多个大语言模型提供路由服务的流行开源项目，在周三下午通过X平台发布声明，承认其遭受了恶意代码注入。攻击者将含有恶意的软件包上传至PyPI（Python Package Index）、Docker Hub以及GHCR（GitHub Container Registry）。这些经过伪装的“特洛伊木马”不仅包含旨在窃取云凭证、密码和AI服务凭据的信息窃取器，还嵌入了远程访问木马，允许黑客在被攻陷的系统上随意下达指令。目前，LiteLLM已紧急下架了所有受影响的发布版本和镜像，并敦促所有安装过相关组件的用户严格遵循其提供的补救指南进行清理。

与此同时，另一条战线也在崩溃边缘。印度证书颁发机构eMudhra的私钥遭泄露，这一事件可能让攻击者有能力签发伪造的数字证书，进而冒充 legitimate 网站进行钓鱼诈骗。安全专家对此评价严厉，认为这是一项规模庞大的“大扫除”工作，其潜在危害甚至超过了著名的“心脏滴血”（Heartbleed）漏洞——后者曾一度动摇整个互联网加密体系的基础。

值得注意的是，这些孤立的事件并非随机发生，它们紧密地串联在一起，揭示了当前网络安全团队面临的严峻现实。在此之前，云原生数据库TiDB Cloud已于周一宣布遭到入侵；黑客们正在利用名为“Plex2Shell”的组合漏洞，持续攻击媒体服务器Plex；而BeyondTrust公司上周也警告客户，其远程支持产品中存在一个自8月以来就被 exploited 的关键零日漏洞。尽管这些事件在技术细节上互不关联，但它们接踵而至的节奏，仿佛是一场针对数字基础设施的协同演练。

尤其值得关注的是，随着人工智能技术的普及，攻击者利用这些漏洞的难度正在大幅降低。AI不仅能加速漏洞的发现过程，还能自动化生成 exploit 代码，使得原本需要高超技巧的攻击变得触手可及。在这种背景下，单纯依靠事后修补已不足以应对威胁，建立更具韧性的防御体系，或许才是破局的关键。