工信部漏洞

工信部通报的工信漏洞，很多普通用户根本看不到。部漏不是工信被隐藏，是部漏压根没人会去翻那份 PDF 附件。上周我帮一个做外贸的工信朋友检查他公司官网，发现后台登录页面还挂着一个 2021 年的部漏 Struts2 漏洞，远程命令执行，工信连验证码都没有。部漏他一脸茫然：“服务器是工信外包公司管的，每年交两万维护费。部漏”我当场用手机浏览器输入一串字符，工信服务器直接返回了 whoami 的部漏结果。他脸色变了。工信

这种事不是部漏个例。工信部每个月都会发《网络安全威胁和漏洞信息共享平台》的工信通告，里面列着几十个高危漏洞，涉及 OA、ERP、防火墙、甚至摄像头固件。但这份通告的阅读量，可能还不如一个网红猫视频的零头。原因很简单：它发在官网上，格式是公文，术语堆砌，没有利用代码，也没有受影响资产的具体定位方法。企业 IT 管理员看一眼就关掉了，反正“我们没收到攻击”。

真正要命的是，攻击者会看。他们会把通告里的 CVE 编号拿去 GitHub 搜 PoC，然后批量扫描全网。2023 年某国产协同办公软件爆出反序列化漏洞，工信部周五下午发预警，周六凌晨就有僵尸网络开始撒网。周一上班时，已经有两百多台服务器被植入挖矿程序。那些管理员周一早上打开电脑，发现 CPU 占用 100%，还以为是业务量突增。

我跟踪过几个案例。有个县级医院的 HIS 系统，因为没打补丁，被勒索病毒加密了患者影像数据。医院信息科只有三个人，一个管网络，一个管硬件，一个管采购。他们连“漏洞管理”这个词都没听过。工信部的通告？他们只看红头文件，不看技术附件。外包公司倒是知道，但合同里写的是“故障响应”，不是“安全运维”。漏洞修复要额外收费，按次算，一次八千。医院嫌贵，拖着。然后就中了。

这里有个结构性错位。工信部作为监管机构，职责是“通报”和“督促”。它没有执法权去挨家挨户敲门，也不可能给每个小企业配一个安全顾问。漏洞信息从 CVE 到 CNNVD 再到工信部平台，流程走完，黄金修复窗口已经过去一半。而真正需要这些信息的人——那些连防火墙规则都看不懂的网管——根本不在这个信息链里。他们获取漏洞情报的渠道，往往是抖音上的“黑客技术教学”或者微信群里的“紧急通知”。

我自己做过一个实验。把工信部近半年的漏洞通告标题复制到百度搜索，前三条结果全是安全厂商的软文，第四条才是官网原文。而安全厂商的软文里，漏洞描述被简化成“某系统存在高危漏洞”，具体版本号、利用条件、临时缓解措施全被删掉，只留下一个“联系我们获取解决方案”的按钮。信息在传播过程中被二次加工，变成了销售线索。真正干活的人拿不到可操作的情报。

更荒诞的是，有些漏洞的修复方案本身就有问题。某次工信部通报了一个工控设备的硬编码密码漏洞，建议“修改默认密码”。但那个设备的管理界面根本不支持改密码，只能通过串口刷固件。厂商的补丁要三个月后才发布，而且只给付费用户。工信部不知道这个情况吗？可能知道，但通报里不能写“建议换设备”，那会引发恐慌。于是漏洞就挂在那里，像一颗没拧紧的螺丝。

我认识一个做等保测评的工程师。他说每次去企业做检查，最怕看到“已按照工信部要求完成整改”的回复。因为翻开工单，所谓的整改就是“在防火墙上封了 8080 端口”。而那个漏洞利用的是 443 端口。这种应付式的合规，比不整改更危险。它制造了一种虚假的安全感，让管理层觉得“我们有人管”。实际上，攻击者换个端口就进来了。

漏洞不会因为你看不见就消失。工信部的通报是一份地图，但大部分企业没有导航。他们要么迷路，要么假装地图不存在。而攻击者拿着同一份地图，开着推土机，直接碾过去。