漏洞排行

上周五晚上十一点，漏洞排行我盯着屏幕上的漏洞排行CVE列表，突然觉得这玩意儿比股票行情还刺激。漏洞排行Apache Log4j2那个漏洞，漏洞排行编号CVE-2021-44228，漏洞排行发布当天就被打上了10.0的漏洞排行满分——CVSS评分系统的天花板。一个Java日志库，漏洞排行因为一行代码没处理好，漏洞排行让全球几百万台服务器裸奔。漏洞排行黑客只需要在输入框里敲一串魔法字符，漏洞排行就能让服务器乖乖执行命令。漏洞排行这个漏洞在排行榜上霸榜了整整半年，漏洞排行直到现在还有人在扫端口碰运气。漏洞排行

漏洞排行这东西，漏洞排行说穿了就是漏洞排行黑客的“热门歌单”。排第一的永远是那些“容易打、影响广、收益高”的。你看微软的PrintNightmare，CVE-2021-34527，明明是个打印服务的老毛病，却因为能远程拿下系统权限，直接冲进前三。更讽刺的是，这个漏洞被公开时，微软还嘴硬说“不是漏洞”，结果被安全研究员当着全世界的面打了个样——用默认驱动就能提权到SYSTEM。打脸来得太快，就像龙卷风。

但排行榜也有它的偏见。它只统计被公开的、被利用的、被厂商确认的漏洞。那些藏在暗网交易市场里的零日漏洞，才是真正的“隐形冠军”。我认识一个搞渗透测试的朋友，他手里攥着三个未公开的浏览器漏洞，每个都能卖到六位数美元。他说这些漏洞就像陈年茅台，越放越值钱——因为厂商修补得越久，能打的目标就越多。这玩意儿没法进排行榜，但杀伤力比榜单前十里任何两个加起来都大。

还有个容易被忽视的现象：老漏洞的复活率比僵尸电影还高。比如那个经典的永恒之蓝，MS17-010，2017年WannaCry用它瘫痪了全球医院和工厂，到现在快八年了，每年还能在蜜罐系统里看到成千上万次扫描尝试。为什么？因为总有企业没打补丁，总有老旧系统在跑关键业务。排行榜上那些“过气”漏洞，其实才是攻击者最稳定的提款机。

说到底，漏洞排行反映的不是技术难度，而是“攻击性价比”。一个能让脚本小子一键拿shell的漏洞，永远比需要复杂利用链的漏洞更受欢迎。厂商们急着修那些被点名批评的，但真正的战场往往在没人注意的角落——比如物联网设备里那些默认口令，或者某个开源库十年没更新的依赖项。

我翻着这份榜单，突然觉得它像一面镜子，照出的是整个行业的焦虑：我们疯狂追逐最新最炫的漏洞，却忘了最基础的 hygiene——补丁管理、权限控制、网络分段。下次再看到某个漏洞冲上榜首，别急着恐慌，先问问自己：我的系统真的会暴露在这个风险下吗？大多数时候，答案会让你松口气，但也可能让你后背发凉。