目前互联网上网络漏洞

2024年3月，目前一个叫Andres Freund的互联微软工程师在调试PostgreSQL性能问题时，发现SSH登录慢了零点几秒。网上网络就是漏洞这零点几秒的异常，牵出了xz-utils后门事件——一个潜伏了近三年、目前针对Linux系统SSH服务的互联供应链攻击。如果不是网上网络他恰好是个注重细节的性能极客，这个后门可能已经进入主流Linux发行版，漏洞影响全球数千万台服务器。目前

这事说明一个问题：互联网上最危险的互联漏洞，往往不是网上网络那种一眼就能看出来的。它们藏在依赖链深处，漏洞藏在某个你从没听说过的目前开源库里，藏在“反正大家都在用”的互联默认信任里。

供应链：你信任的网上网络每一层都可能捅你一刀

xz后门不是孤例。2020年的SolarWinds事件更狠——攻击者直接篡改了Orion平台的更新包，把后门送进了美国财政部、国土安全部等18000个客户的网络。你更新软件，等于亲手把木马请进门。

这类攻击的核心逻辑是：我不需要攻破你的防火墙，我只需要攻破你信任的上游。一个npm包可以依赖几十个间接依赖，每个依赖的维护者都可能被社工、被收买、或者干脆自己就跑路不维护了。2022年npm上的“node-ipc”包作者故意植入恶意代码，抗议俄罗斯入侵乌克兰，直接让大量Vue CLI项目构建失败。维护者的情绪、立场、甚至心情，都成了供应链上的变量。

零日漏洞：打补丁的速度永远追不上利用的速度

2023年，Google的Project Zero团队统计了一个数字：当年被利用的零日漏洞中，超过一半在补丁发布前就已经被攻击者使用了超过一个月。换句话说，你收到更新推送的时候，攻击者可能已经在你系统里逛了一个月了。

Chrome几乎每周都在修漏洞，但野外的利用从没停过。2024年初的CVE-2024-0519，一个V8引擎的越界写入漏洞，从发现到在野利用只隔了几天。浏览器厂商、操作系统厂商、安全厂商，三方在跑一场永远慢半拍的接力赛。

更麻烦的是物联网设备。大量摄像头、路由器、智能门锁跑着几年前的内核，厂商早就不维护了。Mirai僵尸网络当年就是靠默认密码和未修补的漏洞，把几十万台设备变成肉鸡。这些设备现在还在网上，漏洞也还在。

人为因素：最古老的漏洞类型，从没被修复过

2023年，某大型银行被钓鱼攻击攻破，攻击者冒充IT支持人员给员工打电话，引导他们安装“安全更新”。结果安装的是远程控制软件。整个过程没有利用任何软件漏洞，全是社会工程学。

Verizon每年的数据泄露调查报告里，人为因素始终占大头——钓鱼、弱密码、配置错误。2021年Facebook泄露5.33亿用户数据，根源是2019年一个未修复的联系人导入功能漏洞。不是多高深的技术，就是没修。

我自己的观察是：很多公司花大钱买EDR、SIEM、威胁情报，结果员工还在用“Company123”当密码，管理员面板还暴露在公网。安全预算和实际风险之间，经常是错位的。

漏洞不会消失，只会换地方

云原生时代，漏洞从操作系统搬到了容器镜像、Kubernetes配置、CI/CD流水线。一个公开的S3存储桶、一个没设认证的Redis实例、一个硬编码在GitHub仓库里的API密钥——这些“漏洞”甚至不需要CVE编号，但造成的泄露一点不小。

互联网的底层假设是“端到端信任”，但现实是每一跳都可能出问题。xz后门被发现了，下一个呢？可能正在某个你没听过的GitHub仓库里，安静地等待合并。