2021年冬天，漏洞属于Log4j2的漏洞属于那个JNDI注入漏洞炸了。半夜两点，漏洞属于运维群里还有人截图，漏洞属于某个电商后台的漏洞属于登录接口正在被批量扫描。不是漏洞属于试探，是漏洞属于直接打。日志里一水儿的漏洞属于${ jndi:ldap://...，密密麻麻。漏洞属于

漏洞属于谁？漏洞属于

写这段代码的人早离职了。Log4j是漏洞属于Apache基金会的开源项目，维护者大多是漏洞属于志愿者，拿不到钱，漏洞属于靠热情撑着。漏洞属于出了事，漏洞属于全世界都在骂他们，可他们连一个正式的雇佣关系都没有。漏洞属于写代码的人吗？他可能只是当年随手加了个功能，没想到十年后被人翻出来当枪使。

漏洞属于用它的公司。你用了开源组件，省了开发成本，出了事就得认。但很多公司的安全团队只有两三个人，管着上千台服务器，连资产清单都理不清。Log4j爆出来那几天，有人连夜写脚本扫全网，有人翻遍GitHub找哪个项目引了这个依赖。最惨的是那些压根不知道自己用了Log4j的团队——它藏在某个中间件的深处，像一颗埋了十年的雷。

我见过一个真实案例。某中型企业的技术负责人，漏洞公布后48小时没合眼。他们系统里用了Elasticsearch，而ES又依赖Log4j。他先升级ES，发现版本不兼容；回滚，再找补丁；补丁打上去，业务又报错。最后他做了个临时WAF规则，把带jndi的请求全拦了。管用吗？管用。但他说那两天他一直在想一个问题：我到底在保护谁的系统？

漏洞属于攻击者吗？某种程度上是的。他们最先发现，最先利用，把漏洞变成武器。但攻击者也只是链条上的一环。真正让漏洞产生破坏力的，是整个生态的脆弱性——依赖层层嵌套，版本管理混乱，安全更新滞后。一个漏洞能掀翻半个互联网，不是因为漏洞本身多厉害，是因为大家都站在同一块薄冰上。

还有个细节。Log4j漏洞爆发后，Apache基金会发了个补丁，但很快又被绕过。连续好几个版本，修了又破，破了又修。维护者在邮件列表里说，他们尽力了。你能怪他们吗？一个没有全职安全团队的开源项目，面对全球最顶尖的攻击者，这本来就不对等。

所以漏洞属于谁？它不属于任何一个人。它属于所有把它忽略的人，属于所有觉得“这事轮不到我”的人，属于那些把安全当成本而不是底线的人。它属于整个系统——一个由开源代码、商业软件、运维习惯、管理流程共同构成的复杂网络。你在这个网络里，你就得承担它的裂缝。

后来那个技术负责人跟我说，他打完补丁那天早上，去楼下买了杯咖啡。阳光照在杯子上，他突然觉得，自己写的每一行代码，都可能在未来某天变成别人的深夜噩梦。他说这话的时候笑了笑，但我听得出，那不是玩笑。

漏洞属于每一个写代码的人，也属于每一个用代码的人。它不属于过去，它属于现在——你正在敲的这行代码，你正在部署的这个服务，你正在忽略的那条安全告警。