阿里云发现漏洞未上报

阿里云在11月24日向工信部上报了一个Apache Log4j2的阿里远程代码执行漏洞。这个漏洞后来被命名为“Log4Shell”，现漏CVSS评分满分10分。上报但问题在于，阿里阿里云发现漏洞的现漏时间远早于上报时间——他们11月24日就报了，可直到12月9日漏洞细节被公开、上报全球进入紧急修补状态，阿里工信部才发通报说“阿里云未及时上报”。现漏

这事有意思的上报地方在于时间线。阿里云安全团队在11月下旬就检测到了Log4j2的阿里漏洞利用行为，按他们自己的现漏说法，是上报“第一时间向工信部上报了”。但工信部的阿里通报措辞是“未及时上报”，这就矛盾了。现漏要么是上报上报的渠道不对，要么是内容不够完整，要么就是——工信部认为“及时”的定义和阿里云理解的不一样。

我翻了一下《网络产品安全漏洞管理规定》，2021年9月1号开始施行的。里面写得清楚：发现漏洞后应当在2日内向工信部平台报送。阿里云11月24号报的，如果从发现当天算起，2天内确实报了。但工信部12月9号的通报里专门点了阿里云的名，说明他们认为这个上报存在问题。问题可能出在：阿里云报的是“疑似漏洞”还是“确认漏洞”？有没有附带PoC？有没有说明影响范围？这些细节决定了“上报”是否合规。

更微妙的是，阿里云在11月24日上报之后，并没有停止内部研究。他们继续分析漏洞、开发检测工具、通知客户打补丁。这些动作本身没问题，但问题在于：他们有没有在12月9日之前把漏洞的完整技术细节同步给工信部？如果没有，那工信部看到的就是一个“半成品”报告，自然觉得你没报清楚。

我注意到一个细节：Apache官方发布补丁是12月10日，但12月9日晚上漏洞细节已经在GitHub上被公开了。也就是说，从11月24日到12月9日，这半个月里，阿里云知道这个漏洞有多严重，但全球大部分用户不知道。阿里云的选择是：先自己研究、先通知自己的客户、先做防御方案，然后等Apache官方发补丁。这个逻辑在商业公司角度说得通——我要保护我的客户，我要确保我的修复方案有效。但从国家漏洞管理角度，这就不太对了：你发现了核弹级漏洞，不赶紧让国家层面协调全网防御，而是自己先捂着搞了半个月？

有人替阿里云喊冤，说他们11月24日就报了，是工信部自己没重视。但工信部的通报里还有一句话：“阿里云公司未及时上报，且未按《网络产品安全漏洞管理规定》要求，在2日内向工信部平台报送。”注意“未按要求”四个字——说明阿里云报是报了，但报的方式、内容、渠道不符合规定。这就像你发现邻居家煤气泄漏，你打了个电话给物业说“好像有点味道”，然后自己跑去关阀门。物业后来怪你：你为什么不打119？为什么不把具体楼栋单元号说清楚？

这事最后的结果是阿里云被暂停了工信部网络安全威胁共享平台的合作资格。处罚不算重，但信号很明确：漏洞上报不是“我报了就行”，而是“你得按规矩报”。规矩是什么？2日内、通过指定平台、提供完整信息。阿里云可能觉得自己冤，但站在监管角度，一个能影响全球的漏洞，你拖了半个月才让国家层面知道全貌，这本身就是问题。

我个人的判断是：阿里云不是故意瞒报，而是他们的安全响应流程和国家的漏洞管理流程没对齐。企业习惯“先内部消化再对外发布”，但国家要求“发现即上报，边上报边研究”。这中间的摩擦，才是这次事件的真正看点。