2023年国家信息安全漏洞共享平台收录的漏洞漏洞总数是24957个。平均下来，排行每天冒出68个新漏洞。漏洞这个数字比2022年涨了将近15%。排行你睡一觉醒来，漏洞世界上又多了几十个可以被利用的排行软件缺陷。

排名前十的漏洞厂商贡献了将近四成的漏洞。微软、排行谷歌、漏洞苹果、排行Adobe、漏洞甲骨文——这些名字你天天在用，排行它们的漏洞代码也就天天在漏。微软一家就占了将近1200个。排行Windows、漏洞Office、Exchange，哪个都不是省油的灯。2023年Exchange Server那个ProxyNotShell漏洞，攻击者只需要发一封邮件就能拿到服务器权限。补丁发出来的时候，已经有至少10万台服务器被扫过了。

漏洞类型里，跨站脚本和SQL注入依然是常青树。这俩老面孔从Web 1.0时代活到现在，生命力比小强还顽强。原因也简单——写代码的人换了一茬又一茬，但“用户输入不可信”这条铁律，总有人不当回事。一个刚毕业的实习生用三天搭出来的后台管理系统，可能带着五个XSS漏洞就上线了。

远程代码执行漏洞的破坏力最大。2023年CVSS评分9.8以上的漏洞有四百多个，其中远程代码执行类占了将近三成。这类漏洞一旦被利用，攻击者不需要任何账号密码，直接在你的服务器上跑命令。MOVEit那个漏洞，Clop勒索团伙利用它打穿了全球上千家企业，包括BBC、英国航空、壳牌。一个文件传输软件的文件上传功能没校验好路径，整个供应链跟着遭殃。

开源组件的漏洞越来越要命。Log4j那事过去两年了，但2023年Apache基金会还是修了十几个高危漏洞。问题在于，你写代码用了一个npm包，这个包依赖了另一个包，另一个包又依赖了第三个——第三个包三年前就没人维护了，里面藏着一个反序列化漏洞。你根本不知道它存在。软件成分分析工具能扫出来一部分，但扫出来的报告几百页，开发团队看一眼就扔到一边了。

漏洞从公开到被利用的时间窗口在急剧缩短。2020年的时候，一个漏洞从PoC公开到出现在攻击工具里，平均要等两周。2023年这个时间缩短到了不到72小时。有些漏洞在补丁发布的同一天就出现了在野利用。攻击者也在卷，他们盯着GitHub的commit记录和厂商的安全公告，比很多运维人员都勤快。

国内厂商的漏洞数量在上升。2023年CNVD收录的国产软件漏洞超过8000个，比前一年多了两成。用友、金蝶、泛微这些OA和ERP系统是重灾区。一个泛微e-cology的漏洞，攻击者能直接读取数据库配置文件。很多政企单位的内网OA系统版本停留在三年前，补丁？不存在的。系统能用就行，升级万一出问题谁负责。

漏洞排行榜这东西，看个热闹就行。真正要命的是那些没被发现的。0day在黑市上的价格从几万到几百万美元不等。iOS的完整利用链能卖到250万美元以上。能花这个钱的人，不会把漏洞提交给厂商换感谢信。他们要么用来做定向攻击，要么转手卖给更需要的人。

修漏洞的速度永远赶不上挖漏洞的速度。这不是技术问题，是经济学问题。写代码的时候多花一小时做安全设计，可能省掉后面一百小时的应急响应。但项目排期不等人，老板要的是功能上线，安全？下个版本再说。下个版本永远在下一个版本。