漏洞发布

凌晨三点，漏洞发布CVE-2024-3400的漏洞发布详情页在NVD数据库里悄然上线。CVSS评分10.0，漏洞发布满分。漏洞发布我盯着屏幕上那个红色的漏洞发布“CRITICAL”标签，顺手把链接甩进了三个安全群。漏洞发布两分钟内，漏洞发布第一个群有人回：“Palo Alto的漏洞发布？我们上周刚上了那批防火墙。”第二个群直接弹出一张截图——Shodan上全球暴露的漏洞发布GlobalProtect接口数量，一万七千个。漏洞发布没人再说话。漏洞发布

这就是漏洞发布漏洞发布的真实节奏。不是漏洞发布发布会，没有PPT，漏洞发布没有圆桌讨论。漏洞发布一条JSON格式的公告，几个哈希值，一段模糊的“远程代码执行”描述，剩下的全靠安全圈自己拼图。厂商的公告通常在漏洞公开前四十八小时才发给核心合作伙伴，但总有人提前拿到补丁做二进制比对。这次也一样，补丁发布后不到六小时，diff的截图就在推特上流传开了——命令注入，未过滤的cookie值，路径穿越。攻击链清晰得让人后背发凉。

我见过太多人把漏洞发布当成“新闻事件”。不是的。它更像一场没有裁判的赛跑。厂商跑第一棒，写补丁、发通告、催客户升级。安全研究员跑第二棒，写PoC、分析利用条件、发博客。第三棒是那些不写PoC也不发博客的人——他们直接扫全网。去年某边界设备漏洞，PoC公开后七十二小时内，全球至少二十万台设备被植入挖矿木马。没人知道第一波扫描是什么时候开始的，可能比PoC公开还早。

这次有点不一样。Palo Alto的漏洞影响面太大，很多是政府、金融、能源行业的出口设备。补丁发布当天，我认识的一个运维在群里骂：“升级要重启，重启要断业务，断业务要领导签字，领导在休假。”他最后选了临时缓解措施——禁用设备管理界面。但那个缓解措施本身也有绕过方法，只是没人公开说。漏洞发布从来不只是技术问题。它是流程问题、管理问题、甚至人事问题。一个补丁从厂商到落地，中间隔着的不是网速，是审批流。

还有个细节。这次漏洞的发现者拿了多少赏金？没人提。Palo Alto的漏洞赏金计划最高档是两万五千美元，但CVE-2024-3400这种级别的漏洞，黑市价格至少七位数。这不是秘密。漏洞发布公告里不会写“我们花了多少钱买沉默”，但圈内人都知道，有些漏洞在公开前已经在地下市场流通了几个月。发布只是把台面下的东西搬上台面。台面下的交易，永远不会出现在NVD的页面上。

我习惯在漏洞发布后翻一遍厂商的致谢名单。有时候是个人，有时候是团队，有时候是“匿名研究员”。匿名的那部分最值得琢磨。去年有个Exchange漏洞，致谢里写“一位不愿透露姓名的安全研究员”，结果三天后某安全公司发了篇技术分析，作者署名和那个匿名研究员的GitHub ID对得上。这种事经常发生。漏洞发布是一层壳，壳下面有各种动机：炫技、求职、报复、或者纯粹想看世界烧起来。

写到这里，手机又震了。群里有人发了新的扫描结果：全球暴露的GlobalProtect接口从一万七千降到了一万四。有人在连夜打补丁。也有人在连夜写利用工具。漏洞发布从来不是终点，它只是发令枪。枪响之后，跑得快的和跑得慢的，差距会在一周内暴露无遗。至于那些没听到枪声的——他们连赛道在哪儿都不知道。