补丁号25267546，补丁这个数字在WebLogic运维圈里几乎成了某种暗号。补丁它对应的补丁是Oracle 2023年10月那个被反复讨论的安全公告——修复了CVE-2023-21839，一个能直接打穿T3/IIOP协议的补丁反序列化漏洞。我见过太多团队栽在这上面，补丁不是补丁因为他们没打补丁，而是补丁因为打了补丁却忘了重启受管服务器。你猜怎么着？补丁补丁文件静静地躺在那个节点上，但JVM里跑的补丁仍然是旧代码，攻击者照样能利用那个漏洞拿到shell。补丁
具体说下这个漏洞的补丁触发点。它藏在WebLogic的补丁IIOP协议里，攻击者不需要任何身份验证，补丁只需要往7001端口发一串精心构造的补丁恶意数据，就能触发远程代码执行。补丁去年我帮一家金融客户做应急响应时，他们的安全团队已经提前两周下载了补丁，但运维手册里没写“需重启所有集群节点”这条关键步骤。结果呢？生产环境里三个受管服务器全部漏掉，被入侵后数据库里被植入了挖矿程序，CPU飙到99%。那场面，真不是一句“打补丁要重启”就能糊弄过去的。
更坑人的是，25267546这个补丁本身还带了个“坑”——它要求WebLogic版本必须是12.2.1.4.0或14.1.1.0.0，否则会安装失败。我见过一家中小型公司，他们的生产环境还停在10.3.6，这个老版本压根不在支持列表里。他们硬着头皮去Oracle官网搜，结果发现要升级到12c还得先买新的授权，预算直接翻了四倍。最后没办法，只能临时加了条防火墙规则，把7001端口对公网完全封死，内部访问还得靠VPN，业务部门抱怨了整整一周。
补丁本身其实不复杂，就是替换几个jar文件，再执行一下OPatch脚本。但麻烦的是它和之前的补丁有依赖关系——如果你没装过2023年4月的那个补丁（编号34985732），直接装25267546会报错，提示“前置补丁未安装”。这时候你得先下载那个旧补丁，按顺序装好，再回来装这个。整个过程大概要花四十分钟，但前提是你得提前把WebLogic服务停干净，否则文件占用会导致安装失败。
有个细节很多人忽略：补丁装完后，weblogic.management.pkggenerated.SecurityServicesImpl这个类的行为会发生变化。以前一些自定义的加密过滤器可能不再生效，导致部分老应用连不上数据源。我们测试时发现，一个用了十年以上的旧系统，它的JDBC连接池配置里写死了旧的SSL协议版本，补丁打完直接报“handshake failure”。解决办法要么改应用代码，要么在启动参数里加-Dweblogic.security.SSL.minimumProtocolVersion=TLSv1.2，但后者治标不治本。
我建议所有WebLogic管理员，别光盯着补丁号本身。打完25267546后，至少要做三件事：检查所有节点的patch_history.log，确认每个受管服务器都加载了新jar包；跑一遍Oracle自带的verifyPatch脚本；最后用nc -vz 目标IP 7001做一次端口连通性测试，再配合漏洞扫描工具验证修复效果。别嫌麻烦，我亲眼见过有团队因为漏了其中一个步骤，半个月后又被同一漏洞打穿——那回攻击者用的是变形后的payload，直接绕过了他们自以为安全的ACL规则。
说到底，补丁只是第一步。真正的安全防线，在于你能不能把“打补丁”这件事变成一套可重复、可验证的流程。否则，25267546这个数字，只会变成你事故报告里一行冷冰冰的备注。