快科技10月22日消息，全球互联网基础设施遭遇连环安全冲击，先是印度大型数字证书认证机构eMudhra曝出私钥事故，随后PHP曝出隐藏10年的高危漏洞，Node.js也发布了最高严重级别安全更新。

印度CA eMudhra的事故最为荒诞，安全研究员Scott Helme在分析证书架构时发现，其中一组中间证书私钥就是单个数字4，并非以4开头的长字符串，也不是4后面跟数百位随机数，就是单纯的一个数字4。

Helme在个人笔记本上从公开证书反推还原，整个运算不到一秒，随后陆续发现该机构使用的私钥包含56、66、115、155、156、230和237等数字，等于直接敞开防护大门。

虽然Mozilla、Chrome和苹果等主流浏览器厂商已将相关证书列入黑名单，多个开源软件项目也紧急发布更新进行阻断。但相关私钥签发的证书仍广泛分布于各类网络服务器、内部系统和特定应用中，企业和系统管理员需主动检查自身服务器环境。

PHP的漏洞则直接逼停了多个国家政府网站，漏洞代号PHP2Shell，编号CVE-2026-109618和CVE-2026-109619，CVSS评分高达9.2，安全公司watchTowr甚至给出满分10.0。

漏洞从2012年发布的PHP 5.4版本起就存在，隐藏已超10年，攻击者无需登录，发送特制请求即可在服务器上执行任意代码，相当于直接拿到整台服务器控制权。

更关键的是，PHP官方原计划22日发布补丁，但消息20日提前泄露在网上，紧急提前到21日发布，引发全球网站混乱。芬兰政府多个网站、法国政府网站、荷兰网络安全中心官网、鹿特丹港网站等都在补丁发布前临时下线关站避险。

估计全球70%的网站都使用PHP构建，包括WordPress、Drupal、Magento等知名平台，日本首相也在网上发帖，用重大事件形容这次危机，呼吁网站管理者当晚就处理。

官方已发布修复版本：PHP 8.5.12、PHP 8.4.27、PHP 8.3.36和PHP 8.2.35，但还有大量网站使用的是不受支持的旧版本，不是想升级就能升级，这也是多个网站只能关站停服的原因。

Node.js也在同日发布了最高严重级别安全更新，修复Brotli解码器中的越界写入漏洞（CVE-2026-111497），攻击者可借此触发内存损坏并可能达成远程代码执行。

本次更新同步修复了TLS证书验证绕过、DNS解析异常行为以及权限模型绕过多项核心问题，涉及Node.js运行时的多个关键子系统。

受影响版本覆盖Node.js 22.x、24.x、26.x三个大版本，管理员需尽快升级至22.23.4、24.22.1、26.12.1或更高安全版本。