eMudhra撤销八张已泄露的TLS证书——Engadget
印度公司eMudhra撤销了八张私钥过于薄弱的中间TLS证书，与此同时，PHP Foundation表示正在为两项严重的PHP漏洞准备修复补丁。据Engadget报道，这两个问题都可能造成针对网络资源的大规模攻击风险，并需要开展大量系统防护工作。
PHP漏洞
PHP Foundation表示，正在为两项严重漏洞准备补丁，这些漏洞在严重性评分中获得10分中的9.2分。该组织呼吁PHP用户为更新做好准备，并指出，如果问题细节公开或出现活跃利用的证据，可能会更早发布更新。
在该消息发布之前，出现了一段展示PHP2Shell工具的视频，该工具可在运行最新版WordPress、MediaWiki、Drupal及其他PHP平台的Web服务器上执行代码。watchTowr公司表示，其已确认该漏洞的存在，并称它影响自2004年发布的PHP 5以来的所有PHP版本。与此同时，watchTowr的FAQ指出，攻击者能够在服务器上运行自己的代码并可能取得其控制权的可能性，出现在一份未经验证的报告中。Sansec预计，大规模攻击将在更新发布后的15分钟内开始。
更多最新消息请关注 UA.News Telegram 频道 Telegram.
使用弱密钥的证书
eMudhra表示，这八张已泄露的中间证书与根证书颁发机构相关联，Mozilla、Microsoft、Apple和Chrome的应用程序以及其他信任存储均信任这些机构。薄弱的私钥可能使攻击者能够伪造域名证书、冒充服务器并拦截流量。
根据Engadget提及的Hacker News及其他报道，这些私钥的长度分别为4、56、66、115、155、156、230和237位，而报道将384位称为常规长度。Mozilla、Google和Apple已在其浏览器中封锁这些证书。与此同时，Mozilla专家Dennis Jackson警告称，macOS的一项实用工具可能仍会信任已撤销的证书，因为它不会检查撤销数据。该媒体评估认为，最大风险涉及VPN，以及缺乏适当维护的物联网设备和服务器。
