挖矿木马攻击利用最多的挖矿漏洞是：Confluence CVE-2022-26134

如果你翻看近两年挖矿木马的攻击日志，会发现一个名字反复出现——Atlassian Confluence Server 的木马 CVE-2022-26134。这个漏洞是攻击OGNL注入，未授权就能远程执行代码，利用CVSS 评分 10.0，最多满分。漏洞攻击者只要发一个特制请求，挖矿就能在服务器上跑任意命令，木马然后下载挖矿程序，攻击开始偷偷占用你的利用 CPU。

为什么是最多它？原因很现实。Confluence 是漏洞企业里常见的 wiki 系统，很多公司内部文档、挖矿研发协作都靠它。木马它往往部署在内网，攻击或者至少对员工开放，暴露面大。更关键的是，这个漏洞利用门槛极低，网上公开的 POC 脚本一抓一大把，连初学者都能照着打。我见过一个案例，某科技公司的一台 Confluence 服务器被植入 XMRig，CPU 占用飙到 400%，但运维团队整整两周没发现——因为攻击者把进程伪装成了系统服务名。

攻击流程通常是这样：扫描公网开放 8090 端口的 Confluence，发送恶意数据包，拿到 shell，然后 curl 下载挖矿木马，设置 crontab 持久化，最后清理日志。整个过程不超过三分钟。有的变种还会横向移动，利用 SSH 密钥或 SMB 漏洞感染同网段其他机器。

CVE-2022-26134 在 2022 年 6 月被公开，Atlassian 当天就发了补丁，但直到今天，Shodan 上依然能搜到大量未修复的实例。为什么？很多企业根本不知道自己在用 Confluence，或者IT 部门觉得“这系统不重要，晚点再升级”。结果就是，攻击者像逛超市一样挑选目标。

另一个被频繁利用的漏洞是 Apache Log4j2 的 CVE-2021-44228，也就是 Log4Shell。这个漏洞影响面更广，几乎任何用 Java 写的应用都可能中招。挖矿木马团伙利用它批量扫描，只要发现目标应用打印了包含 JNDI 查询的日志，就能远程加载恶意类。2021 年底爆发后，大量未修补的 Elasticsearch、Solr、Kafka 实例被入侵。有个知名案例是某云厂商的日志服务被攻破，攻击者直接利用 Log4Shell 在底层节点上跑起了矿机，导致客户业务延迟飙升。

这两个漏洞的共同点是什么？它们都出在广泛使用的中间件或开发框架上，且补丁发布后，仍有大量系统长期不更新。挖矿木马攻击者不追求高级技巧，他们只找最容易进的门。从实际攻击量来看，CVE-2022-26134 和 Log4Shell 加起来占了挖矿木马利用漏洞的六成以上。

如果你负责安全运维，别光盯着防火墙和 IPS 规则。先去查一下你的资产清单里有没有 Confluence，版本是多少。再检查所有 Java 应用的依赖，看有没有 log4j-core 低于 2.17.0 的。这两个动作能挡住大多数挖矿攻击。现实是，很多公司中了招，不是因为攻击者多厉害，而是因为连基础补丁都没打。