会议室里坐了十一个人。漏洞安全部的工作老周把投影仪打开，屏幕上是漏洞一张漏洞拓扑图，密密麻麻的工作红线像蜘蛛网一样缠在一起。没人说话，漏洞空调出风口嗡嗡地响。工作

“这个漏洞上周就报上来了，漏洞”老周用激光笔点了点图中央那个红点，工作“攻击路径已经打通到内网核心。漏洞但业务部门说，工作修复需要重启生产系统，漏洞窗口期要等月底。工作”他顿了一下，漏洞激光笔的工作光斑在屏幕上抖了抖，“今天才十二号。漏洞”

运维部的小李把椅子往前挪了半寸。“月底不行。下周三有个大版本上线，如果现在动核心系统，版本回滚的兼容性测试全得重做。”他翻着手里的笔记本，纸页哗啦响，“再说了，这个漏洞利用条件需要内网权限，外部打不进来。”

“外部打不进来？”安全部新来的小赵突然插嘴，声音有点紧，“上周的钓鱼演练，你们运维部有两个人点了测试邮件。内网权限？早就不是门槛了。”

会议室里安静了两秒。老周没接话，只是把拓扑图切换成一张攻击链的时间轴。红点从外网到内网的路径上，标注着“已确认可利用”，日期是上周五。

“我来说句实在话。”一直没开口的架构师老陈摘下眼镜，用衣角擦了擦，“这个系统是七年前的老架构，当时设计的时候根本没考虑过这种攻击面。现在打补丁就像给漏水的船换个铆钉——你补上这个洞，旁边可能已经锈穿了。”

小李抬起头：“那你的意思是直接重构？预算呢？明年Q3才排期。”

“我不是那个意思，”老陈摆摆手，“我是说，咱们别只盯着这一个漏洞。今天讨论的是这个洞怎么补，但更应该想想，为什么这个洞能存在这么久。”

老周看了看表，会议已经开了五十分钟。他合上笔记本：“这样，技术方案我今晚回去出一个临时加固包，不动核心代码，先在外围加一道访问控制。月底窗口期再做完整修复。小赵，你明天把钓鱼演练的结果整理一下，发给各部门负责人。”

他站起来，把激光笔放回桌上：“但我要说清楚，这不是治本的办法。下周的版本上线，我建议把安全测试前置，别等上线了再发现问题。”

小李没说话，低头在手机上打字。老陈重新戴上眼镜。小赵收拾着桌上的材料，纸页碰在一起，发出细碎的声响。

散会的时候，走廊里的灯亮着。老周走在最后，听见小赵在身后小声说：“下次能不能把业务部门也叫来？他们总以为安全就是运维的事。”老周没回头，只是嗯了一声，心里想的是明天早上还得给领导写一封邮件，解释为什么这个漏洞不能等到月底再补。

(责任编辑：热点)