--- title: 我们可能面临互联网末日的奇点 tags: - php - cve - 安全 - tls - ca - 基础设施 - 思考 categories: - 技术 date: 2026-10-22 14:30:00 desc: 十月的最后十天里，PHP 核心出了两个 9.2 的未认证 RCE，印度 CA eMudhra 的八把中间证书私钥被证明可以直接算出来。前者有补丁但没有热更新，后者连补丁这个概念都不适用。当修复速度取决于几百万个独立部署者的手速时，真正的临界点不是"互联网崩了"，是"修补追不上失效"。 abbrlink: internet-doomsday-singularity cover: /images/internet-doomsday-singularity/cover.webp --- > 这篇文章写于 2026 年 10 月 22 日。文章时间是东八区，文内的所有时间戳都是 UTC，除了明确标注"北京时间"的地方。漏洞公告和补丁状态变化极快，你读到的时候数据大概已经过期了。 ![城市废墟上方的碎裂地球，屏幕上滚动着 RCE 利用代码、被划掉的 CA 证书和卡在 32% 的进度条](/images/internet-doomsday-singularity/cover.webp) 10 月 21 日这一天，四件事挤在一起。 PHP 发了两个 CVSS 9.2 的未认证远程代码执行补丁。同一批修复里，Go、Rust、Python、Node.js 各自在处理另一件事：一家印度 CA 的八张中间证书私钥，被人证明可以直接从公开证书里算出来。 前一件事的问题是补丁太多人来不及打。后一件事的问题是根本没有补丁可打。 > 想象一下你的架构是 **nginx** 反向代理，后面挂着 **PHP 8.1** 主站、**Node.js 24.x Brotli** 网关、**Go** 微服务、**Java GraalVM** 中台、**Ruby** 工具链、**Perl** 遗留脚本、**Rust TLS** 校验层、**Python + LiteLLM 1.107.0** AI 中台跑在 **virtualenv** 里，**Vyper** 智能合约部署在 **Docker 29 + Kubernetes + Traefik Ingress** 上开着 **mTLS fail-open**，宿主机还跑着 **ASP.NET Core** 面板和 **.NET** 本地服务，全部跑在 **Linux 内核 c6e50df8** 之前，HTTPS 证书由 **eMudhra** 签发并通过 **emSign** 交叉认证，根证书库用 **Go crypto/x509 + Rust webpki-roots + Python certifi**，**CI** 昨晚刚从 **PyPI** 拉了新包 ## 互联网从来没有这么脆弱过 我至今还记得 CCTV 说网安缺口 **300 万**。但好巧不巧，AI 时代来了，缺口没见少，安全公司倒先亏了一批。逆向这事也从来没有这么简单过，找漏洞、把几个洞串成一条链，以前得靠年头堆，现在一个人加一个模型就能干，还有好多以前想都不敢想的玩法。 说起来挺讽刺的，自由软件运动和开源运动搞了几十年，不就是想让足够多的人看代码、把 bug 都翻出来吗： > 足够多的眼睛，所有 bug 都无处藏身。 只是没想到，这个目的最后是让 AI 给实现了... 我以前钻研过一些预言书，国外的预言里说未来**金融系统会在一小时之内归零**。当时我就当故事看。可要是哪天真有人在数学算法上搞出大发现，**大整数分解、椭圆曲线离散对数**这些东西能轻松算开（不是拿算力硬堆，是找到捷径），那这个预言就不用预言了。RSA、ECC 撑着的 TLS、签名、链上地址会一起完蛋，web3 也保不住谁，它踩的是同一块地板。 这就是我自己的感觉，不是什么预测，我也没证据说它什么时候来。但攻击成本一直在往下掉，把机枪塞到猴子手里的成本也在往下掉，这挺危险的。我感觉 **2027 年底**之前，互联网总会在某种意义上实质性地崩一次，不一定是全网断线，更可能是**证书和补丁都不再有人信**。 --- **参考链接** - CERT-EU 安全公告 2026-018（PHP）： - PHP 官方安全公告存档（2026-10-21）： - GHSA-w8hw-w9fx-j79w（CVE-2026-109618）： - GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）： - Sansec：PHP2Shell 研究页： - Rapid7：两个 PHP RCE 的技术评估： - CNCERT 风险提示（CNVD-2026-41674 / 41675）： - CERT-In：eMudhra 中间 CA 证书失陷公告 CICA-2026-3649： - Cisco Talos：失陷的 eMudhra 中间证书： - The Hacker News：八把 eMudhra CA 密钥失陷与各生态修复清单： - SafeDep：eMudhra 事件的开发者响应指南（含探针与 mitmproxy 用法）： - Go 安全公告 / CVE-2026-111943： - RUSTSEC-2026-0382（rustls-webpki）： - Node.js 2026-10-21 安全发布： - Docker Engine 29 发布说明（含 29.9.1 / 29.9.2）： - LiteLLM 官方事件说明（2026-10-21）： - Kodem：LiteLLM 1.107.0 供应链攻击 IOC 与响应手册： - Kubernetes 官方 CVE 列表： - Traefik 安全更新公告（2.11.60 / 3.7.16）： - nginx 1.30.6 / 1.31.7 五项修复： --- **作者：**xingwangzhe **本文链接：**[https://xingwangzhe.fun/posts/internet-doomsday-singularity/](https://xingwangzhe.fun/posts/internet-doomsday-singularity/) 本文采用[知识共享署名-非商业性使用-相同方式共享 4.0 国际许可协议](https://creativecommons.org/licenses/by-nc-sa/4.0/)进行许可。