海康威视在2021年9月18日深夜放出一批补丁，海康针对旗下数十款IP摄像头的摄像远程代码执行漏洞。这个漏洞编号CVE-2021-36260，头漏CVSS评分高达9.8，洞补丁几乎属于“裸奔”级别——攻击者不需要任何账号密码，海康只要摄像头能联网，摄像就能通过构造特制的头漏HTTP请求，直接往设备里塞命令。洞补丁

我见过最典型的海康攻击场景是这样的：某物流园区的仓库装了四十多台海康摄像头，管理员图省事，摄像全部用默认的头漏80端口映射到公网。漏洞被扫到后，洞补丁攻击者批量植入了挖矿程序。海康摄像头芯片算力弱，摄像挖不动主流币种，头漏但架不住数量多，僵尸网络照样能攒出算力。等园区网管发现监控画面卡成PPT时，设备CPU早就被占满了。

这批补丁的修复方式也很有意思。海康没有简单封堵漏洞端口，而是直接改了固件里的命令解析逻辑。老版本固件对RTSP协议头的处理过于宽松，补丁后强制校验了Content-Length字段的长度上限，还加了URL编码的二次过滤。说白了，以前黑客能往数据流里塞私货，现在连货架都焊死了。

但补丁发布不等于安全。我查过海康的技术公告，发现一个尴尬的事实：官方只承诺对近五年内的机型提供固件更新。2016年以前的老设备，比如DS-2CD2xxx系列，直接停止维护。这些设备在二手市场依然流通，很多小工厂贪便宜买来当室内监控，结果成了漏洞重灾区。有人统计过，互联网上暴露的海康设备里，至少有三成还在跑2018年前的旧固件。

更麻烦的是补丁安装本身。摄像头的固件升级不像手机系统更新那么无感，需要先用SADM工具离线下载升级包，再通过IE浏览器登录设备管理页上传。但海康从2020年起逐步取消了IE插件支持，改用Chrome的NPAPI接口——结果Chrome 45版本后也禁用了NPAPI。很多集成商干脆放弃升级，导致补丁覆盖率远低于预期。

说句实在话，海康这次的反应速度算快的。从漏洞公开到补丁发布只用了11天，对比某美国摄像头品牌曾经拖了半年才修漏洞，已经算业界良心。但摄像头这东西的特殊性在于，它不像服务器可以随时重启打补丁。生产线上的监控停机十分钟，可能就漏掉一次质量事故的证据。所以很多安全工程师宁愿顶着漏洞风险，也不愿意在上班时间动设备。

我自己的处理习惯是：把摄像头隔离到独立VLAN，禁止外网直接访问，再在边界防火墙上加一条规则——只允许NVR（网络录像机）的IP段访问摄像头端口。补丁还是要打的，但别指望补丁能解决所有问题。物理隔离加访问控制，比任何补丁都管用。毕竟，再完美的代码也防不住物理层的拔网线。