据Engadget 10月21日报道，Ars Technica看到的安全公告显示，两项严重互联网安全漏洞正促使网站管理员紧急修补：一项涉及加密强度极弱的TLS证书，另一项是影响WordPress、Drupal等系统的PHP严重漏洞。安全专家称，两者都可能被用于大规模攻击，并留下繁重的清理工作。

PHP基金会表示，将发布针对两个关键漏洞的安全补丁，严重性评分为10分制的9.2分，并计划于UTC 14时发布。该基金会建议PHP用户准备更新，并称如果细节公开或出现活跃利用证据，将提前发布。此前有报告展示名为PHP2Shell的工具在运行最新版WordPress、MediaWiki、Symphony、Drupal等PHP网站的服务器上执行代码。安全公司watchTowr称已确认该漏洞，且其影响从2004年的PHP 5以来的所有版本；该公司在相关问答中表示，未经证实的报告称，攻击者可在运行PHP的服务器上执行自己的代码，并可能控制服务器。另一家安全公司Sansec预计，补丁发布后15分钟内就可能出现大规模攻击。网站管理员修补期间，部分基于PHP的网站可能短暂下线。

TLS证书问题来自印度公司eMudhra。该公司表示，其8张中间CA证书遭到入侵，这些证书可链到Mozilla、微软、苹果和Chrome根项目以及许多下游信任库所信任的根证书。问题在于私钥过弱，可能让攻击者为一系列网站和应用伪造凭证。报道称，这些私钥强度远低于通常的384比特，具体数值包括4、56、66、115、155、156、230和237，低到可通过测试256个可能数字恢复。eMudhra证书曾被Cloudflare等主机、浏览器、操作系统、物联网设备及其他联网设备广泛信任。攻击者一旦伪造域名证书，就可冒充服务器并拦截流量。

Mozilla、Google和苹果已在浏览器中阻止受影响的证书。但Mozilla安全专家Dennis Jackson警告，macOS的一项实用程序可能仍信任这些证书，因为它不检查吊销信息，许多其他客户端也存在同样问题。eMudhra已吊销这8张证书，并将问题归咎于用于生成证书的脚本。密码学工程师Filippo Valsorda对Ars Technica表示，目前最大风险在VPN，尤其是政府积极尝试拦截流量的场景，也可能影响物联网设备、缺乏维护的服务器等。他称，这将是一项比2014年Heartbleed漏洞更大的清理工作。