我们可能面临互联网末日的奇点

这篇文章写于 2026 年 10 月 22 日。文章时间是东八区，文内的所有时间戳都是 UTC，除了明确标注“北京时间”的地方。漏洞公告和补丁状态变化极快，你读到的时候数据大概已经过期了。

10 月 21 日这一天，四件事挤在一起。

PHP 发了两个 CVSS 9.2 的未认证远程代码执行补丁。同一批修复里，Go、Rust、Python、Node.js 各自在处理另一件事：一家印度 CA 的八张中间证书私钥，被人证明可以直接从公开证书里算出来。

前一件事的问题是补丁太多人来不及打。后一件事的问题是根本没有补丁可打。

想象一下你的架构是 nginx 反向代理，后面挂着 PHP 8.1 主站、Node.js 24.x Brotli 网关、Go 微服务、Java GraalVM 中台、Ruby 工具链、Perl 遗留脚本、Rust TLS 校验层、Python + LiteLLM 1.107.0 AI 中台跑在 virtualenv 里，Vyper 智能合约部署在 Docker 29 + Kubernetes + Traefik Ingress 上开着 mTLS fail-open，宿主机还跑着 ASP.NET Core 面板和 .NET 本地服务，全部跑在 Linux 内核 c6e50df8 之前，HTTPS 证书由 eMudhra 签发并通过 emSign 交叉认证，根证书库用 Go crypto/x509 + Rust webpki-roots + Python certifi，CI 昨晚刚从 PyPI 拉了新包

互联网从来没有这么脆弱过

我至今还记得 CCTV 说网安缺口 300 万。但好巧不巧，AI 时代来了，缺口没见少，安全公司倒先亏了一批。逆向这事也从来没有这么简单过，找漏洞、把几个洞串成一条链，以前得靠年头堆，现在一个人加一个模型就能干，还有好多以前想都不敢想的玩法。

说起来挺讽刺的，自由软件运动和开源运动搞了几十年，不就是想让足够多的人看代码、把 bug 都翻出来吗：

足够多的眼睛，所有 bug 都无处藏身。

只是没想到，这个目的最后是让 AI 给实现了…

我以前钻研过一些预言书，国外的预言里说未来金融系统会在一小时之内归零。当时我就当故事看。可要是哪天真有人在数学算法上搞出大发现，大整数分解、椭圆曲线离散对数这些东西能轻松算开（不是拿算力硬堆，是找到捷径），那这个预言就不用预言了。RSA、ECC 撑着的 TLS、签名、链上地址会一起完蛋，web3 也保不住谁，它踩的是同一块地板。

这就是我自己的感觉，不是什么预测，我也没证据说它什么时候来。但攻击成本一直在往下掉，把机枪塞到猴子手里的成本也在往下掉，这挺危险的。我感觉 2027 年底之前，互联网总会在某种意义上实质性地崩一次，不一定是全网断线，更可能是证书和补丁都不再有人信。

参考链接

• CERT-EU 安全公告 2026-018（PHP）：https://cert.europa.eu/publications/security-advisories/2026-018
• PHP 官方安全公告存档（2026-10-21）：https://www.php.net/archive/2026.php#2026-10-21-5
• GHSA-w8hw-w9fx-j79w（CVE-2026-109618）：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
• Sansec：PHP2Shell 研究页：https://sansec.io/research/php2shell
• Rapid7：两个 PHP RCE 的技术评估：https://www.rapid7.com/blog/post/etr-cve-2026-109618-and-cve-2026-109619-critical-unauthenticated-remote-code-execution-in-php/
• CNCERT 风险提示（CNVD-2026-41674 / 41675）：https://news.qq.com/rain/a/20261022A06R2200
• CERT-In：eMudhra 中间 CA 证书失陷公告 CICA-2026-3649：https://www.cert-in.org.in/s2cMainServlet?CACODE=CICA-2026-3649&pageid=PUBADV01
• Cisco Talos：失陷的 eMudhra 中间证书：https://blog.talosintelligence.com/compromised-intermediate-certificates/
• The Hacker News：八把 eMudhra CA 密钥失陷与各生态修复清单：https://thehackernews.com/2026/10/eight-emudhra-ca-keys-compromised.html
• SafeDep：eMudhra 事件的开发者响应指南（含探针与 mitmproxy 用法）：https://safedep.io/emudhra-ca-key-compromise
• Go 安全公告 / CVE-2026-111943：https://www.cyberkendra.com/2026/10/go-blocks-compromised-emudhra-ca-keys-in-emergency-update.html
• RUSTSEC-2026-0382（rustls-webpki）：https://github.com/tauri-apps/tauri/issues/16343
• Node.js 2026-10-21 安全发布：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
• Docker Engine 29 发布说明（含 29.9.1 / 29.9.2）：https://docs.docker.com/engine/release-notes/
• LiteLLM 官方事件说明（2026-10-21）：https://litellm.vercel.app/blog/security-incident-oct-21-2026
• Kodem：LiteLLM 1.107.0 供应链攻击 IOC 与响应手册：https://www.kodemsecurity.com/resources/litellm-supply-chain-attack-litellm-1-107-0-affected-versions-iocs-and-first-hour-response-runbook
• Kubernetes 官方 CVE 列表：https://kubernetes.io/docs/reference/issues-security/
• Traefik 安全更新公告（2.11.60 / 3.7.16）：https://community.traefik.io/t/new-security-update-for-traefik-2-11-2-11-60-and-3-7-3-7-16/30291/1
• nginx 1.30.6 / 1.31.7 五项修复：https://www.intelfusions.com/news/nginx-1-30-6-five-vulnerabilities