polyfill.io 供应链攻击，超 38 万台主机受影响
内容提要
网络安全公司Censys发现超过38万台主机仍在引用polyfill.io恶意域，该域名被用于将嵌入polyfill.io代码的网站的访问者重定向到博彩和成人网站。专家估计，超过10万个网站受到影响。Censys还发现182台受影响的主机是政府网站。Cloudflare和Fastly为用户创建了替代的安全polyfill端点以减轻威胁。
延伸解读
供应链攻击的规模与集中风险
Censys发现超过38万台主机仍引用polyfill.io恶意域，其中约23.77万台集中在德国Hetzner网络（AS24940）。这种高度集中意味着一旦该网络或相关服务被攻击，可能造成大面积影响。受影响主机包括Hulu、梅赛德斯-奔驰和WarnerBros等主要平台相关网站，凸显了第三方脚本供应链的广泛风险。
政府网站成为攻击目标
在受影响主机中，有182台是使用polyfill.io脚本的政府网站（.gov）。政府网站通常承载敏感信息或服务，一旦被重定向到博彩和成人网站，不仅损害公信力，还可能被用于钓鱼或进一步攻击。这提醒公共部门需严格审查第三方依赖，并建立应急替换机制。
替代方案与迁移进展
Cloudflare和Fastly已创建安全的polyfill替代端点，Censys观察到21.65万台主机引用了polyfill-fastly.io或cdnjs.cloudflare.com/polyfill，较6月28日的8.03万台显著增加。这表明许多网站正在迁移，但仍有大量主机未行动。网站所有者应尽快检查代码库，移除对polyfill.io及其相关域的引用。
其他可疑域名的潜在威胁
Censys还发现cdn.bootcss.com上存在类似polyfill.io的恶意JavaScript文件，可能根据地理位置重定向用户。共有163.7万台面向公众的主机链接到可疑域名，其中bootcss.com显示出潜在恶意迹象。虽然其他端点性质尚不明确，但同一攻击者未来可能利用这些域名进行类似活动，需保持警惕。
Q&A
polyfill.io恶意域名的影响有多大？
超过38万台主机引用了polyfill.io恶意域名，估计超过10万个网站受到影响，其中182台是政府网站。
Censys是如何发现polyfill.io恶意域名的？
Censys通过监测HTTP响应发现384773台主机包含对polyfill.io的引用，并接到多起恶意活动报告后暂停了该域名。
如何防止polyfill.io带来的安全威胁？
专家建议网站所有者从代码库中删除对polyfill.io及其相关域的任何引用，同时Cloudflare和Fastly提供了安全的替代polyfill端点。
polyfill.io恶意域名是如何被利用的？
该域名被用于将嵌入polyfill.io代码的网站的访问者重定向到博彩和成人网站。
Censys发现了哪些其他可疑域名？
Censys发现cdn.bootcss.com上有类似polyfill.io的恶意JavaScript文件，可能进行地理位置重定向。
polyfill.io的替代端点有哪些？
Cloudflare和Fastly创建了安全的替代polyfill端点，如polyfill-fastly.io和cdnjs.cloudflare.com/polyfill。
