近期，PHP、Node.js、LiteLLM等开源项目接连曝出安全问题，网络安全形势再次引发市场关注。
据TechCrunch援引路透社当地时间21日报道，在常用于网站开发的编程语言PHP被发现存在致命安全漏洞后，多国一些网站已临时下线。
美国国家安全局（NSA）敦促使用PHP的机构尽快完成更新，并建议在修复完成前暂时下线相关系统。
与此同时，Node.js披露称，其最新版本已修补4个高危漏洞。TechCrunch称，其中一个漏洞可能使攻击者远程控制服务器，另外两个漏洞则可能被用于绕过TLS验证，进而绕过服务器身份验证流程。
另一热门开源工具LiteLLM也遭遇安全事件。LiteLLM是一款用于在多家大模型服务之间转发请求的开源代理。该项目通过社交平台X表示，其发行版本曾被植入恶意代码。
据TechCrunch报道，带有恶意代码的LiteLLM版本一度被上传至Python软件包索引PyPI、Docker Hub以及GitHub Container Registry（GHCR）等分发渠道。相关恶意代码包含信息窃取程序和远程访问木马，旨在窃取云凭证、密码以及AI服务相关凭证等敏感信息。
LiteLLM随后删除了受影响的发行版本和镜像，并建议已安装相关版本的用户按照官方处置指引开展排查和应对。
除上述事件外，印度认证机构eMudhra的私钥也被盗。攻击者可能借此签发伪造证书，冒充正规网站。TechCrunch称，安全专家认为，后续处置工作或将十分庞大，其影响甚至可能超过OpenSSL著名漏洞“Heartbleed”。
此外，云数据库服务TiDB Cloud于19日披露遭遇入侵事件。
上周，安全厂商BeyondTrust也向客户发出警告，要求尽快修补其远程支持产品“Remote Support”的漏洞。该漏洞自8月起已被黑客持续利用。
Chi-gyu Hwang
delight@d-today.co.kr