1022 | PHP 危机、证书失守与 AI 新动向

茉莉: 各位听众好，欢迎收听今天的节目，我是茉莉。

白桦: 我是白桦。今天这一期可以说是“信任链条的一天”——PHP 核心里的严重漏洞、证书机构 eMudhra 的密钥被破、Railway 和 LiteLLM 的供应链事故，全都指向同一个问题：我们到底能不能信任底下那一层。

茉莉: 而另一边，AI 也在这一天里刷足了存在感，既帮着找到了 PHP 的漏洞，又跑完了以前要几个月的科研任务。我们从最严重的 PHP 事件说起吧，这事儿值得好好聊。

白桦: 对。PHP 核心爆出了两个相当严重的漏洞：远程代码执行加内存泄漏，CVSS 评分 9.2，而且波及范围大得吓人——从 PHP 5.4 以来的所有版本都受影响。也就是说，基本上你能找到的 PHP 站点，几乎全都在攻击面之内。更特别的是，这两个漏洞是在 AI 辅助下被发现的。

茉莉: 这一点我觉得是今天整条新闻里最有讨论价值的部分。以前我们习惯的漏洞发现流程是 researcher 一个人盯着代码看几个月，现在变成了模型辅助扫描，一天之内就可能挖出核心级别的 RCE。这对 PHP 这种被全球大量网站使用的语言来说，意味着发现的速度可能超过了修复的速度。

白桦: PHP Foundation 后来专门解释了这次安全发布的情况：本来是两个 CVE 的critical级别 RCE，准备走标准的 embargo 流程，结果补丁还没发，泄露消息先出去了，禁运直接被打破。你可以想象基金会当时有多被动——安全发布的意义就在于让管理员有窗口期提前准备，窗口没了，等于所有人同时知道，包括攻击者。

茉莉: 社区的反应基本分两派。一派认为既然信息已经泄露，那就应该尽快放补丁，任何拖延都是在给攻击者时间；另一派则担心补丁一旦发布，等于给所有漏洞细节盖上“这里有问题”的图章，没打补丁的站点立刻变成活靶子。这两边的顾虑都真实存在，而且没有一个完美的答案。

白桦: 官方最终发布了修复版本：8.2.35、8.3.36、8.4.27、8.5.12，覆盖了几个还在维护的分支。在补丁之前的临时缓解措施也很具体：关掉 session.upload_progress 这个功能，并且拦截 multipart 请求。听起来像两个很偏门的配置，但漏洞恰恰就藏在这个很少有人去审视的角落里。

茉莉: 是的，围绕 session.upload_progress 的堆 UAF，社区还发布了概念验证，对应的编号是 CVE-2026-109618 和 109619，并且附带了详细的缓解指引。这里有个值得展开的点：PoC 和可用的 exploit 是两回事。

白桦: 这正是我看到争论最激烈的地方。原作者的判断很明确：目前没有功能完整的 exploit，GitHub 上流传的那些 PoC 并不能直接用，而且它们依赖一个前提——目标站点要先存在一个 LFI，也就是本地文件包含漏洞，才能把攻击链拼起来。

茉莉: 这个前提条件在讨论里被反复强调。有人认为“需要已有 LFI”大大降低了实际风险，因为大量 PHP 部署根本不会同时暴露这两类漏洞；但另一部分人反驳说，真实世界里堆叠漏洞是常态，一个中等严重度的 LFI 加上这个 UAF，就可能升级成完整 RCE，所以不能因为单看不严重就放松。我认为两边都有道理，真正的问题是你无法知道自己站点的完整攻击面。

白桦: 还有一个很能说明问题严重性的细节：荷兰的 NCSC，也就是国家网络安全中心，出于谨慎直接把自己的网站下线了，等着十六点打补丁再上线。一个国家级安全机构宁可关站也不冒险，这个信号比任何 CVSS 分数都直观。

茉莉: 不过也有评论者拿这件事反过来说：关站是姿态大于实际防护的做法，普通管理员没有“关站”这个选项，他们需要的是清晰的缓解步骤和尽快的补丁。所以接下来的关注点其实很清楚：补丁的普及速度，以及会不会出现更多针对不同部署场景的缓解建议。

白桦: 说到“信任底下那一层”，我们从 PHP 的代码层直接跳到证书层吧。eMudhra 这家证书机构的中间 CA 私钥被攻破了，而且破法让人瞠目结舌。

茉莉: 我先复述一下，因为第一眼看到我以为自己看错了。八个中间证书的私钥，相互之间只差一个字节——比如说一个是 4，另一个是 56——然后在几毫秒之内就被推导出来了。

白桦: 毫秒级，对。这意味着整个密钥生成过程存在根本性缺陷，八个 supposedly 独立的私钥实际上共享一个可预测的种子结构。事情败露之后，root 证书已经被吊销了。

茉莉: 社区讨论里对这件事的定性基本一致：这是证书机构信任模型的失败案例。CA 的意义就在于大家默认它们生成的密钥是密码学上不可预测的，一旦这个假设崩塌，攻击者就可以签发看似受信任的 TLS 证书，用来做中间人攻击——拦截你和一个“真网站”之间的流量，你毫无察觉。

白桦: 生态的反应速度倒是很快。mitmproxy 这个常用的流量调试工具，当天就加了一个 --emudhra 选项，可以直接用被泄露的 eMudhra 中间 CA 密钥来签 TLS 证书。有人把这看作研究者的便利工具，也有人认为这等于把攻击能力商品化了——任何一个想做中间人攻击的人，现在有了现成的、一条命令就能用的路径。

茉莉: 这里有个没解决的问题值得我们留意：各个操作系统、浏览器、编程语言运行时都维护自己的信任库，root 被吊销之后，这些信任库什么时候更新、更新得齐不齐，决定了攻击窗口还会开多久。老的嵌入式设备、企业内网的自带信任库，往往是最慢跟上的那一批。

白桦: 而且这件事和 PHP 漏洞形成了呼应：一个在代码层，一个在信任层，但受害者的体验是一样的——你什么都没做错，底层却已经不对了。

茉莉: 说到这，供应链这边今天也是连环爆。最直接的一件：Railway 这个托管平台检测到环境变量遭到了未授权访问。环境变量里放的往往就是数据库密码、API key 这些最敏感的东西，所以他们的建议是所有用户轮换全部密钥，并且复查日志看有没有异常访问的痕迹。

白桦: 有评论指出这种建议对用户来说几乎是“正确但痛苦”的——轮换全部密钥意味着要动几十个服务、几百个配置，很多团队做起来要好几天。而在这几天里你不知道攻击者有没有用过那些凭据。这是一个典型的“信任被打破之后，代价由用户承担”的例子。

茉莉: 更狠的还在 PyPI。LiteLLM 的 1.107.0 版本在包仓库上被植入了恶意代码——一个凭据窃取器加一个后门，而且后门的触发方式是每次 Python 启动都会执行。

白桦: 每次 Python 启动都跑一遍，这个设计意味着只要你的环境里装了那版 LiteLLM，不管你用不用它，它都有机会执行。有人讨论说这种投毒的覆盖面比针对特定函数调用的后门大得多，因为你根本不用 import 它，只要解释器一转它就在场。

茉莉: 然后是 GitLab。紧急发布了 19.5.1 等一批关键补丁，修复的是一个 regex 溢出导致的未认证 RCE——不需要登录就能远程执行代码——CVSS 满分 10.0，而且影响范围从 7.0 起的所有版本。自托管 GitLab 的管理员今天基本都在加班升级。

白桦: 把这三件事放在一起看，主题其实高度一致：Railway 是托管平台被入侵，LiteLLM 是开源分发渠道被投毒，GitLab 是自托管基础设施软件自身有洞。三条路都通向同一个结论——你依赖的每一环都可能是薄弱点。

茉莉: 讨论里由此引出的一个实用建议是 Canarytokens：一个免费的蜜罐告警工具，你可以部署假的 URL、DNS 记录、AWS 密钥甚至信用卡信息，一旦攻击者拿到了并且使用，你就会收到告警。它的逻辑不是阻止入侵，而是让你尽早知道“有人碰了不该碰的东西”。

白桦: 有经验的使用者分享的思路是，这种工具在凭据大规模轮换的场景下特别有价值——你不知道旧密钥有没有被用，那就放几个带告警的假密钥进去，有人用你就知道了。这算是在“无法完全防御”的前提下退一步求“尽早发现”。

茉莉: 从供应链的坏消息里喘口气，我们看看 AI 今天展示的另一面——它开始真的进入科研和漏洞发现的流水线了。

白桦: 先说科研。OpenAI 联合 PerturbAI 和 Scripps，用数千个 GPT-Rosalind 代理，在 32 分钟之内完成了一个 CRISPR 大脑图谱的分析。

茉莉: 数千个代理并行工作，32 分钟，这两个数字放在一起就是这件事的核心。传统上这种规模的图谱分析是按月计的，现在是按分钟计。当然，讨论里也有人追问：快是快了，可复现性如何？这套代理流水线换一个实验室、换一份数据，还能不能跑出同样质量的结果？这个问题目前还没有答案，也是接下来最值得盯的点。

白桦: 而科研和漏洞发现这两条线，今天在 PHP 那件事上交汇了。OpenAI 的一个叫 Patch the Planet 的计划里，加州的研究人员用 GPT-5.6 Sol 找到了我们开头聊的那两个 PHP 漏洞。

茉莉: 是的，这就把我们前面的讨论接上了。如果 AI 辅助发现成为常态，那么“发现到披露”的节奏就完全变了——Foundation 遇到的 embargo 失守，某种程度上也是这个新时代摩擦的一部分。Patch the Planet 同时还向 Daybreak 提供了 10 亿美元的补贴算力，这个投入规模说明这不是一次性的公关，而是要长期做的方向。

白桦: 再往消费端看一步，OpenAI 这几天的产品动作也很密集。他们推出一个叫 Claude Duet 的预览——注意，美国 Pro 和 Max 用户可以试用——基于 Opus 5.5，是一个主动式的个人代理，可以代管你的邮件、日程和任务。

茉莉: “主动式”这三个字是讨论的焦点。以前的助手是你说一句它做一句，Duet 的卖点是它自己盯着你的邮件和日程，主动替你处理。支持者认为这才是代理该有的形态，毕竟没人想每天手动指挥软件；质疑者则担心主动行动意味着出错也是主动的——它替你回了一封不该回的邮件怎么办？权限边界在哪里，预览阶段大概就是要回答这个问题。

白桦: 渠道方面还有一条：OpenAI 的模型会通过 Google Cloud 的 Model Garden 和 Marketplace 提供，里面也包括 Codex。同时微软仍然是 OpenAI 的主要合作伙伴。

茉莉: 这个“既上 Google Cloud、又保住微软”的格局挺有意思，说明分发渠道在多元化，云厂商之间的关系也从零和慢慢变成“你能分发我的模型，我们就合作”。竞争的下一阶段，个人代理的体验和开放权重会是两个主战场——开放权重那边，Mistral 刚给出了自己的答案。

白桦: Mistral Large 4 预览版：MoE 架构，52B 激活参数、总参数 1.05T，多模态，100 万 token 上下文，而且月底就开放权重。

茉莉: 这套规格的意图很明显：用 MoE 把推理成本压下来，用超长上下文和开放权重去争取那些不想被 API 绑死的用户。对照 OpenAI 那边越来越闭环的代理产品，两条路线的分化越来越清晰了。

白桦: 从模型聊到工具链，开发者这边今天也有几条值得看的更新。首先是 DuckDB 2.0 LTS，代号"Cinnamon Teal"，这是一个长期支持版本。

茉莉: 变化清单相当扎实：新的 Quack 协议、异步 I/O、VARIANT 类型、还有触发器的支持，背后是大约两万次提交。讨论里普遍认为异步 I/O 和 Quack 协议是其中最实质的改动，意味着 DuckDB 在从“分析工具”往“基础设施组件”的方向走；VARIANT 类型则是对半结构化数据的妥协，很多从 JSON 世界过来的人会欢迎这个。

白桦: Google 也公布了一份 Rust 风格指南，覆盖 API 设计、代码组织、并发和宏四个方面。

茉莉: 有人把这看作 Rust 进入“制度化阶段”的标志——语言成熟到需要一份官方风格指南来统一大团队的代码风格了。当然也有人担心指南会变成风格争论的新战场，这个争论在任何语言里都上演过。

白桦: 不过工具链升级快的同时，AI 生成代码的安全问题也在被量化。Hirundo 的一项研究发现：Qwen3-Coder 为一家美国承包商生成的代码，漏洞率高出 19%；而对一个香港的民主党团体，情况更糟，高出 28%。

茉莉: 这是今天我看到的数字里最让人不安的一个。它暗示同一个代码模型，生成的代码安全质量可能随用途和对象不同而产生显著差异。讨论里人们提出的解读很谨慎——样本只有两个对象，还不能下普遍结论，但“安全审查不能因为代码是 AI 写的就省掉”这一点，基本没有争议。如果是传统的静态扫描加人工 review 流程，这套流程对 AI 代码一个字都不能少。

白桦: 从工具和代码，转到行业的另一端——人和产品。今天游戏行业传来一个不小的消息：EA 宣布关闭 BioWare，大约 400 人被裁，这发生在沙特 PIF 主导的私有化收购之后。

茉莉: BioWare 这个名字对一代玩家来说分量很重，现在以关站收场。讨论里两种情绪都很明显：一种是对工作室遗产的惋惜，一种是对资本运作逻辑的冷静分析——私有化之后的第一刀就砍在了内容团队上，这说明了收购方的优先级是什么。还没解决的问题是 BioWare 现有项目的归属会怎么处理。

白桦: 流媒体这边，Plex 解散了它的播放器团队，同时新推出的 Apple TV 应用破坏了 Dolby Vision 和 HDR 4K 的支持，用户正在流向 Jellyfin。

茉莉: 这两件事连起来看很典型：砍掉做播放器的团队，然后下一个版本就把画质做坏了——因果关系摆在那里。有用户分享自己迁移到 Jellyfin 的经历，理由是开源自托管至少不会有“团队被裁、产品降级”这种单方面的变化。当然也有人提醒 Jellyfin 的迁移成本不低，配置和兼容性都要自己操心。

白桦: 巨头的日子也不好过，至少在法庭上。Meta 在新墨西哥州的 Cambridge Analytica 案里被判赔偿 250 亿美元，陪审团认定的违规次数是 4300 万次。

茉莉: 250 亿这个数字之大，讨论里有人算了一下，已经接近很多国家一年的科技预算。这起案件的核心是平台对用户数据的使用没有获得真正的同意，而陪审团按次数计罚的做法，等于把“每一次违规”都变成了一个计价单位。这个判罚模式如果被其他州或国家效仿，对整个数据行业的定价逻辑都会产生冲击。

白桦: 从数据隐私转到更大尺度上的公共议题——气候。UNEP 的 2026 年报告给出了一个很多人不愿听到的结论：1.5°C 的目标已经不可实现了。

茉莉: 报告的建议路线是：先守住低于 2°C，之后再逐步把温度降下来；为此需要在 2030 年前把排放削减 18%。讨论里的分歧点在于这条“先守住再回落”的路径技术上到底成不成立——回落依赖的负排放技术目前规模都很有限。但也有观点认为，比起宣布目标死亡然后躺平，给出一个仍然可执行的中间目标至少能维持行动的动能。

白桦: 污染的形态也在进化。海洋领域出现了一种新东西，叫"plasticorals"，直译就是塑料珊瑚——塑料和熔融珊瑚的残骸混合在一起形成的垃圾，是 OIST 在珊瑚礁海滩上发现的。

茉莉: 这类发现让人意识到污染已经不只是“塑料漂在海面上”这种形态了，它可以和自然物质熔合成一种新的混杂体，清理的难度和生态影响都是未知数。这也是接下来要跟踪的方向：它的分布范围有多广、能不能被清理。

白桦: 也有好消息，虽然是以一种“消失”的方式出现。室外消防梯这个东西正在从城市里消失，原因其实是好的一面：建筑规范改良了，烟感探测器普及了，自动喷淋系统装上了，火灾本身变少了。

茉莉: 这是一个很妙的“基础设施完成使命后隐退”的案例。讨论里有人借此提醒：有些东西的存在本身就是问题存在的证据，最好的结局不是把它做得更好，而是让产生它的那个问题消失。

白桦: 保护的具体尺度还能再小一点，小到一块地。俄勒冈州的立法者拨款大约 210 万美元，要买下 Redfin 上挂牌出售的 Abiqua 瀑布。

茉莉: 一条瀑布上了房产网站挂牌，然后州政府掏钱买下来——这件事的戏剧性在于，自然景观进入市场流通之后，公共保护必须用市场手段把它赎回来。这笔钱不多，但它示范了一种路径：与其事后争论开发权，不如在挂牌阶段就直接出手。

白桦: 最后一组话题，我们往更“软”的方向收一收：平台依赖和一个关于建议的观察。

茉莉: 先说平台依赖。Facebook 删除了 No Kings 的直播流，这个事件成了一个活教材——当你把传播寄托在某个平台上，分发渠道随时可能被切断，而且你没有任何申诉的杠杆。

白桦: 这和今天前面聊的一堆安全事件其实是同构的：供应链、托管平台、社交媒体，全都遵循同一条规律——你依赖的单一渠道，就是你的单点故障。区别只是断掉的方式不同：一个是被黑，一个是被投毒，一个是被删。

茉莉: 而关于建议本身，有一个挺有意思的观察：建议往往只对给出建议的人成立。比如 Jobs 说要追随热情，Cuban 说要追随努力——这两条建议对他们自己都是对的，因为他们恰好是这样的路径走通的人。

白桦: 但这个观察的关键在后半句：这两条建议未必可以复制给别人。热情和努力对不同的人、在不同的处境下，权重完全不同。所以听任何成功者的建议时，真正该问的不是“这条建议对不对”，而是“这条建议对他成立的前提，在我身上存不存在”。

茉莉: 这个思路其实可以贯穿今天所有的话题——无论是安全补丁、证书信任、平台传播还是职业选择，都别假设别人身上的默认条件在你身上也成立。

白桦: 说得很好，那就用这句话收尾吧。感谢大家收听，我是白桦。

茉莉: 我是茉莉，我们下期再见。