基礎設施的致命缺口
美國國家安全局（NSA）發出緊急建議，要求所有使用 PHP 語言開發系統的組織，在漏洞補丁部署完成前暫時將系統離線。PHP 是一種廣泛用於網頁後端的程式語言，據估計支撐了全球約 70% 的網站流量，包括大量使用 WordPress 的內容管理系統。此次發現的兩個關鍵漏洞，允許攻擊者在未經登入的情況下，直接執行伺服器指令、存取檔案系統或資料庫。這意味著網站的「門」不再需要鑰匙，攻擊者可以直接走進房間翻找文件。
被低估的驗證機制
比 PHP 漏洞更令人震驚的是 E-Mudra 事件的細節。E-Mudra 是印度的一家數位簽章與憑證授權機構（CA），其簽發的憑證被全球各大瀏覽器預設信任，用來驗證網站身份與加密通訊。據電腦科學家 Pash 揭露，該機構本應使用 115 至 116 位數的隨機數字作為私鑰，但實際使用的私鑰竟然是數字「4」。這代表任何嘗試從 1 開始窮舉攻擊者，只需試到第 4 個數字就能成功破解。這種極端的疏忽導致其簽發的憑證可能在過去 18 個月內已被竊取，影響範圍涵蓋印度政府機構、國有銀行及部分中東與南亞金融機構。
AI 讓攻擊規模化
這波危機的另一個特徵是攻擊的自動化程度。據報導，駭客利用 Claude、Grok 與 Kimi 等 AI 模型，自動化了針對 400 家銀行的網路攻擊。過去需要大量人力腳手架的滲透測試與漏洞利用，現在可以由 AI 快速生成攻擊腳本並批量執行。OpenAI 的模型也被提及在部分 PHP 漏洞的發現過程中扮演了角色。這顯示 AI 不僅是防禦工具，更是攻擊者的槓桿，將原本需要專業團隊才能完成的複雜攻擊，壓縮為幾分鐘內的自動化流程。
主筆觀點
我認為這場危機的本質，不是技術漏洞，而是「信任鏈」的斷裂。我們長期依賴瀏覽器預設信任的 CA 機構與廣泛使用的開源語言，卻缺乏對這些基礎設施維護狀態的即時監控。E-Mudra 使用「4」作為私鑰，暴露的不是單一公司的失職，而是整個憑證體系對「最小努力」原則的過度依賴。
持平地說，NSA 建議關機是極端但必要的措施，因為在漏洞補丁普及前，任何在線系統都是潛在的跳板。但反過來看，這也凸顯了中小企業與個人用戶的脆弱性：他們沒有資源即時追蹤數百個依賴庫的更新，更無法驗證上游 CA 的健全性。接下來該看的具體訊號是：各大瀏覽器廠商是否會緊急撤銷 E-Mudra 的根憑證，以及 PHP 官方補丁的部署速度是否能趕在攻擊者完成大規模滲透之前。如果補丁部署緩慢，我們可能面臨的不是單點故障，而是整個網頁生態系統的信任崩塌。
以上為魔法報紙編輯部觀點,不代表原報導立場。