开展等活动 向社会发布系统漏洞

安全圈里有句老话：漏洞不可怕，开展可怕的等活动是没人知道它存在。可当漏洞的发布发现者是白帽子，而“向社会发布”这个动作被某些厂商视为“恶意”时，系统事情就变得微妙了。漏洞

上个月，开展某开源社区的等活动一位开发者发现了一款国产ERP系统的SQL注入漏洞。他按惯例写好技术分析，发布贴上漏洞复现步骤，系统发到了公开漏洞库。漏洞结果呢？开展厂商没先修漏洞，反倒先发了一封律师函，等活动措辞强硬地要求他“立即删除所有相关描述，发布否则将追究法律责任”。系统这位开发者一脸懵——他做错了什么？漏洞他只是把漏洞公之于众，让所有使用者都知道自己系统里有个洞，可以赶紧打补丁或者采取缓解措施。厂商的愤怒逻辑很简单：你公开了漏洞，等于告诉全世界“我有毛病”，这影响我的商业声誉，影响股价，影响客户信任。

但漏洞发布这件事，本质上不是“揭短”，而是“排雷”。你家里煤气泄漏，邻居闻到味道大喊一声“你家漏气了”，你会骂他多管闲事，还是赶紧关阀门？系统漏洞同理。公开漏洞信息，能让所有用了这套系统的企业第一时间自查、加固、止损。反之，如果漏洞只在厂商和发现者之间私相授受，厂商闷声不响地修，那没被通知到的其他用户怎么办？他们还在裸奔。更糟的情况是，漏洞被地下黑产先拿到，那才是真正的灾难。

我认识一个做安全应急响应的朋友，他处理过一起真实事件：某政务系统存在未授权访问漏洞，攻击者可以随意调取公民身份证信息。白帽子发现后，第一时间联系了厂商，厂商嘴上说“收到，马上处理”，结果拖了三个月没动静。白帽子等不下去了，把漏洞细节发到了CNVD（国家信息安全漏洞共享平台）。这下厂商急了，不是急着修漏洞，而是急着找白帽子“沟通”——希望他删帖，理由是“影响政务形象”。朋友跟我说，那会儿他真想拍桌子：“形象重要还是老百姓的隐私重要？”

当然，公开漏洞也需要规则和边界。完全裸奔式地公开，比如直接把攻击代码放出来，连缓解方案都不给，那确实不负责任。正规做法是给厂商留出合理的修复窗口期，比如90天，到期厂商还没动静，再向社会披露。这是国际通行的负责任披露原则。可国内不少厂商连这个窗口期都不愿意给，恨不得漏洞永远烂在肚子里。他们没想明白一个道理：漏洞是客观存在的，不会因为你不说就消失。你不说，攻击者也在找；你说了，至少防守方有机会先跑一步。

厂商的心态其实可以理解——谁愿意家丑外扬？但安全这事，捂盖子永远是最差解。腾讯、阿里这些大厂每年都办安全峰会，鼓励白帽子提交漏洞，还发奖金，为啥？因为他们想通了：与其让漏洞在暗处腐烂，不如让它见光死。漏洞公开，短期看是“丑闻”，长期看是“免疫”。那些靠隐藏问题来维持体面的系统，早晚会被更狠的一击打穿。

所以，向社会发布系统漏洞，不是“找茬”，而是“排雷”。厂商该做的不是堵住发布者的嘴，而是赶紧修好自己的门。用户该做的不是恐慌，而是关注补丁、更新版本。至于那些还想靠“删帖”解决问题的厂商，我只想说一句：你删得掉帖子，删不掉漏洞，也删不掉攻击者扫描器里的那条记录。