内容摘要：2024年3月，一个网名为“夜莺”的ID在GitHub上公开了某国产办公软件的一个远程代码执行漏洞。PoC代码不到200行，却能让攻击者在目标机器上以系统权限运行任意程序。从公开到被大规模利用，中间只

2024年3月，向社一个网名为“夜莺”的布系病毒ID在GitHub上公开了某国产办公软件的一个远程代码执行漏洞。PoC代码不到200行，统漏却能让攻击者在目标机器上以系统权限运行任意程序。洞计从公开到被大规模利用，算机中间只隔了72小时。向社那三天里，布系病毒我盯着几个安全社区的统漏讨论帖，看着漏洞利用工具从“仅供研究”变成“一键化脚本”，洞计再变成黑产论坛里的算机叫卖商品。这个速度，向社比官方发补丁快得多。布系病毒

把漏洞直接甩到公开互联网上，统漏这事在安全圈里一直吵得凶。洞计支持的算机人说，不公开就没人修，厂商能拖则拖。反对的人说，你公开的那一刻，没打补丁的系统就成了活靶子。两边都有道理，但现实往往不按道理走。我见过太多厂商的安全响应邮箱形同虚设，提交漏洞后石沉大海，三个月不回一封邮件。也见过公开之后，厂商一夜之间发出版本更新。压力这东西，有时候比流程管用。

但问题在于，漏洞公开的受益者从来不只是厂商和用户。写勒索软件的那帮人，刷漏洞平台积分的那帮人，搞APT的那帮人，全在同一个池子里捞鱼。2021年Exchange Server的ProxyLogon漏洞公开后，全球超过25万台服务器被入侵，其中大部分是在补丁发布前就已经中招。那些被加密的文件、被窃取的邮件、被植入的后门，不会因为“推动厂商修复”这个正当理由就消失。

计算机病毒这边，情况更直接。病毒样本的公开传播，几乎没有任何争议空间。一个能自我复制、能破坏文件、能窃取密码的代码，放到网上就是武器。有人会说“只是技术交流”，但技术交流不需要把完整利用链和免杀方法一起打包。我在一些Telegram群里见过病毒源码的交易，明码标价，支持定制功能，售后还包更新。这跟卖刀不一样，刀能切菜，病毒只能干坏事。

更麻烦的是，漏洞和病毒之间的界限正在模糊。一个漏洞利用工具，加个传播模块就是蠕虫；加个加密模块就是勒索病毒。WannaCry就是现成的例子，永恒之蓝漏洞加个勒索载荷，几天之内席卷150个国家。那个漏洞本来是被方程式小组掌握，后来被影子经纪人泄露，再后来被做成各种利用工具。每一次公开，都是一次武器扩散。

我并不是说所有漏洞都不该公开。负责任的披露流程是有意义的：先报厂商，给合理时间修，修完再公开细节。问题是“合理时间”到底多长算合理。30天？90天？有些厂商觉得一年都不够。谷歌Project Zero定的是90天，到点就公开，不管修没修。这个策略逼出了不少紧急补丁，也逼出了一些半成品补丁——修了表面，底层还在。

真正让我不安的，是那种“先公开再说”的冲动。有些人把公开漏洞当成一种道德表演，觉得自己在替天行道。但漏洞公开之后会发生什么，他们往往不关心。那些被入侵的中小企业，那些被勒索的医院，那些被窃取数据的普通人，不在他们的视野里。技术精英主义的傲慢，有时候比漏洞本身更危险。

写到这里，我想起一个做运维的朋友。他管着两百多台服务器，每次看到漏洞公开的新闻，第一反应不是“厂商该修了”，而是“今晚又要加班了”。补丁要测试，业务要兼容，停机窗口要协调。公开漏洞的人不会帮他做这些事，但攻击者会帮他做决定——要么连夜打补丁，要么等着被攻破。这个选择，从来都不轻松。