凌晨三点，多个漏洞我盯着屏幕上那行红色报错，多个漏洞咖啡杯沿凝着冷掉的多个漏洞油渍。这个漏洞编号CVE-2024-21762，多个漏洞其实藏得并不深——只是多个漏洞没人想到，Fortinet的多个漏洞SSL VPN居然会在cookie解析上栽跟头。攻击者只需要构造一个超长的多个漏洞cookie值，就能让设备内存溢出，多个漏洞然后拿到root权限。多个漏洞就这么简单，多个漏洞全球数万台设备裸奔了两个月。多个漏洞

有意思的多个漏洞是，这类漏洞总爱扎堆出现。多个漏洞上个月微软刚补完那个MSHTML零日，多个漏洞这个月Adobe又爆出ColdFusion的多个漏洞路径穿越。你发现没有？它们有个共同点：都是老功能模块在作祟。Fortinet那个问题出在十年前写的C代码上，微软那个更是IE时代的遗留物。厂商们天天喊着"默认安全"，可那些陈年代码就像老房子里的电线，谁也不知道哪根绝缘皮已经裂了。

我见过最讽刺的案例在去年某银行。他们花了三千万买下一代防火墙，结果攻击者根本没碰那台设备——直接绕到旁边那台没人管的打印服务器，顺着内网横向移动，把核心数据库拖走了。那台打印服务器跑着2008年的Windows Server，补丁停在2015年。安全团队跟我说，他们以为边界防护够了，谁知道内部会漏成筛子。

漏洞这东西，有时候真不怪技术。前阵子某车企的API漏洞，居然是因为开发图省事，把测试密钥硬编码在代码里发布了。代码审查的人没看，自动化扫描工具把这类问题归为"低危"，结果黑客拿那个密钥直接调用了车辆控制接口。你说这是技术问题？分明是流程和态度问题。

更让人头疼的是，漏洞披露机制本身也有洞。有些白帽子发现漏洞，报告给厂商，结果厂商拖了半年才修复，期间漏洞详情早就被第三方泄露了。我认识一个研究员，他报给某大厂的漏洞，对方回复"已知问题，下季度修复"，转头他就看到漏洞在暗网被标价出售。这中间的时间差，够黑客把受害者犁一遍了。

其实大多数漏洞都没什么技术含量。SQL注入、弱口令、未授权访问，翻来覆去还是那老三样。可为什么老修不完？因为修漏洞不产生KPI，新功能才产生。开发团队排期永远优先做新业务，安全团队提的修复需求永远排在下个迭代。等真出了事，损失几百万，才想起来当初那个"低危"漏洞。

说到底，漏洞是代码的宿命，但泛滥成灾就是人的问题了。你看Log4j那个漏洞，本身是日志库的一个小瑕疵，结果因为用得太广，变成全球性灾难。现在很多人学乖了，开始搞软件物料清单，可又有几个公司真能把自己系统里每个组件的版本号理清楚？

天快亮了，我关掉那个漏洞报告，给客户写了封邮件："建议立即升级，同时排查所有外联IP。"这种话我写过几百遍，对方回不回、修不修，就听天由命了。漏洞永远会有，但更缺的，是那种真把安全当回事的敬畏心。