医疗器械网络安全漏洞扫描报告

上周三凌晨两点，医疗一台正在手术室待机的器械输液泵被扫描出17个高危漏洞。护士站的网络值班人员完全不知道，这台设备正通过医院内网向某个境外IP发送心跳包。安全这不是漏洞电影情节，是扫描我上个月在华东某三甲医院设备科亲眼看到的真实日志。

医疗器械的报告网络安全问题，早就不是医疗"会不会出事"，而是器械"什么时候出事"。你随便找一台2018年前出厂的网络CT机，用Nmap扫一下开放端口，安全大概率能看到23端口（Telnet）还活着。漏洞厂商默认密码是扫描"service"或者"admin123"，有些甚至压根没改过。报告更离谱的医疗是，某品牌监护仪的固件里硬编码了一个后门账号，密码是设备序列号后六位——序列号就印在机器背面，谁都能看见。

我们这次扫描覆盖了全院327台设备，包括输液泵、呼吸机、除颤仪、影像归档系统。结果很不好看：83%的设备运行着已停止支持的操作系统，Windows XP占了四成，Windows 7占三成。有一台2009年出厂的麻醉机，系统是Windows 2000，扫描时直接蓝屏了——对，扫描动作本身就能让设备崩溃。所以做医疗设备漏扫，必须避开临床使用时段，还得提前准备物理重启方案。

漏洞分布有个规律：越老的设备越危险，但越新的设备越"沉默"。老设备漏洞多，因为厂商早就不发补丁了；新设备反而扫不出什么，因为它们用的是定制Linux，对外只开一个加密端口，流量全走私有协议。问题在于，这些新设备会主动往厂商云平台传数据，传什么、传给谁、有没有脱敏，医院信息科根本不知道。我见过一台2022年的超声机，每天凌晨三点准时向德国某IP发送约200MB的压缩包，文件名是"patient_anonymized_20240517.zip"。打开一看，姓名、年龄、检查部位全在，只是把身份证号中间八位换成了星号。

厂商的态度也很微妙。你找他们要漏洞详情，他们先说"设备符合IEC 62443标准"，再问就是"商业机密"。某次我们扫出一台呼吸机的Web管理界面存在SQL注入，厂商工程师回复："这个界面只有工程师模式才能访问，临床不会用。"可那个工程师模式的密码，就写在维修手册第47页，手册在设备科抽屉里放着，谁都能翻。

说个具体案例。某医院ICU的中央站系统，跑在一台Windows Server 2008上，补丁停在2019年。扫描发现它开着445端口，永恒之蓝漏洞还在。我们建议立刻隔离，信息科说"这是监护厂商要求的，不能动"。三天后，勒索病毒从一台护士站电脑扩散过来，中央站瘫痪，所有监护仪数据中断。厂商来恢复系统，收费八万，发票开的是"软件维护费"。

做漏扫的人得明白一件事：你不能只盯着CVE编号。医疗设备的风险是组合式的——一个弱口令加上一个未加密的更新通道，再加上临床科室不敢随便重启设备的现实，三者叠加才是真正的杀伤力。我见过最讽刺的一幕：某台输液泵的漏洞报告里写着"可远程修改输注速率"，而设备科的处理方式是——把网线拔了。拔了网线，设备就不能集中监控了，护士得每小时手动抄一遍数据。他们选了更累但更安全的路。

扫描报告最后给了三条建议，没写"加强管理"这种废话。第一，把所有医疗设备划进独立VLAN，只允许特定IP的采集服务器访问。第二，跟厂商签合同时加一条：必须提供SBOM（软件物料清单）和漏洞披露时间表。第三，买台二手的同型号设备放实验室，专门用来做破坏性测试——反正临床那台你不敢碰。

报告交上去那天，设备科长问我："这些漏洞真会被利用吗？"我给他看了个截图：某境外论坛上，有人在卖国内某品牌监护仪的默认口令列表，标价50美元。他沉默了一会儿，说："下周把全院设备清单给你，再扫一遍。"