2023年秋天，教育某省教育厅的行业官网被挂上了暗链，点进去是漏洞博彩广告。没人发现，报告直到一个初中生在做信息课作业时偶然点开，平台截图发到了微博。教育这条微博两天后被删除，行业但截图已经传遍了教育圈子的漏洞微信群。
这不是报告个例。我认识一个做学校网站维护的平台工程师，他手里管着四十多所中小学的教育官网后台，密码全是行业统一的“Admin123”。他说，漏洞很多学校的报告网站一年都没人更新，但攻击者从来没忘过它们。平台教育行业有个特殊之处——数据太值钱了。学生姓名、身份证号、家庭住址、家长联系方式，这些信息在黑市上按条计价，比信用卡信息还贵。
更麻烦的是，漏洞往往藏在最不起眼的地方。某大学去年被拖库，不是因为防火墙不行，而是教务系统里一个十年前的选课插件出了SQL注入漏洞。那个插件早没人维护了，但系统还在用。教育行业的IT预算大多花在买设备和建平台上，安全这块，常常被挤到角落里。
有些问题甚至不是技术能解决的。我见过一所中学，老师自己建了个成绩查询页面，用的还是免费虚拟主机，密码写在办公桌上。他图的是方便，没想过这页面能查到全校学生的所有科目成绩。后来被一个学生用弱口令扫出来了，成绩单在网上传得到处都是。学校最后没追究，因为“家丑不可外扬”。
漏洞报告平台存在的意义，就是把这些藏在暗处的问题摆到明面上。它不是执法机构，更像一个中立的信息收集站——谁发现了漏洞，可以匿名提交，平台核实后通知相关学校，给他们时间修复。有些学校反应快，三天就补上了；有些学校根本没人理，邮件发过去石沉大海。平台能做的有限，但至少让“被攻击”这件事不再只是受害者一个人的沉默。
我记得平台公布过一组数据：2024年上半年，收到的教育行业漏洞报告里，超过六成是弱口令和未授权访问。这种漏洞不需要多高深的技术，一个初中生拿着教程就能试出来。可就是这些“低级错误”，每年导致大量学生信息流出。
教育系统的特殊性在于，它的用户是未成年人，数据泄露的后果会伴随他们很多年——比如身份被冒用去网贷，或者被精准诈骗盯上。但很多学校的管理者意识不到这点，他们觉得网站没瘫痪就是安全的。
平台最近在尝试做一件事：给漏洞定级，然后按紧急程度推送通知。低危的可以慢慢修，高危的直接打电话给学校信息中心主任。有次半夜，一个偏远地区的中学校长接到电话，说学校官网的后台被人上传了木马，他还以为对方是骗子，骂了几句挂了。后来平台把截图发到他微信，他才慌了，连夜找人处理。第二天他专门打了个电话回来说，原来网上真有这么多坏人盯着我们这种小学校。
这个行业需要的不是更多安全设备，而是让每个学校都意识到：自己的网站不是一座孤岛，它连着几十万条真实人生的起点。漏洞报告平台能做的，只是敲敲门，提醒里面的人醒来。至于门后的人愿不愿意睁开眼，那又是另一件事了。