内容摘要：凌晨三点十七分，手机屏幕在床头柜上亮了一下。我翻了个身，没去碰它。第二天早上醒来，看到一条来自某安全社区的消息推送：一个编号为 CVE-2024-3400 的漏洞被标记为“紧急”。点进去，CVSS 评

凌晨三点十七分，紧急漏洞手机屏幕在床头柜上亮了一下。紧急漏洞我翻了个身，紧急漏洞没去碰它。紧急漏洞第二天早上醒来，紧急漏洞看到一条来自某安全社区的紧急漏洞消息推送：一个编号为 CVE-2024-3400 的漏洞被标记为“紧急”。点进去，紧急漏洞CVSS 评分 10.0。紧急漏洞满分。紧急漏洞

这不是紧急漏洞第一次了。但每次看到 10.0，紧急漏洞后背还是紧急漏洞会紧一下。

一个字符串，紧急漏洞撬开整个系统

漏洞出在 PAN-OS 的紧急漏洞 GlobalProtect 功能里。简单说，紧急漏洞就是防火墙的远程接入模块。攻击者不需要任何账号密码，只要构造一个特殊的请求，就能在设备上执行任意命令。任意。这意味着什么？意味着你的边界防线——那个本该挡住外面所有人的东西——自己把门打开了。

我翻了一下披露时间线。厂商在 4 月 12 日发布补丁，但在此之前，已经有攻击者在野外利用了至少两周。两周。足够把数据搬空好几轮。Shadowserver 基金会的扫描数据显示，全球暴露在公网上的受影响设备超过 15 万台。这个数字后来降了，但降得不够快。

补丁不是终点，是起点

很多人以为打完补丁就没事了。我见过太多这样的团队：漏洞公告一出，运维连夜升级，第二天开会说“已修复”，然后继续过日子。但这次不一样。如果你没有在攻击窗口期内检查日志，你根本不知道自己的设备有没有被碰过。

Palo Alto 后来更新了公告，承认攻击者可能在利用漏洞后植入 webshell，而且这些 webshell 会伪装成正常的系统进程。这意味着什么？意味着你的防火墙可能还在“工作”，但它同时在给外面传数据。你看到的流量图一切正常，因为后门就藏在正常流量里。

我认识一个做应急响应的朋友，他跟我说过一个细节：他们在客户设备上找到的 webshell，文件名和系统自带的一个调试工具只差一个字母。不注意看，根本发现不了。这种手法不新鲜，但放在安全设备上，杀伤力翻倍——因为你最信任的那台机器，变成了别人的跳板。

为什么总是安全设备

有意思的是，这几年最严重的几个漏洞，好多都出在安全产品自己身上。防火墙、VPN、邮件网关。这些设备天生就在边界上，天生就暴露在公网，天生就拥有高权限。攻击者盯上它们，逻辑上完全说得通。但厂商呢？安全设备的功能越堆越多，代码越来越复杂，攻击面跟着膨胀。GlobalProtect 这个功能，本来只是为了方便远程用户接入，结果成了一个不需要认证就能触发的命令注入点。

我不觉得这是偶然。安全行业有个不太愿意承认的事实：我们卖出去的很多“安全”产品，本身的质量控制并不比普通软件好多少。甚至更差，因为它们跑在特权模式下，还经常被要求“不能断”。

你现在该做什么

如果你手里有 PAN-OS 设备，先确认版本。然后，别只看补丁打了没有。去查日志，查 GlobalProtect 的接入记录，查有没有异常的进程或文件。厂商后来发布了 IOC（入侵指标），拿去比对。如果发现痕迹，别自己删——先隔离，再取证。这不是小题大做，是因为攻击者一旦进来，通常不会只待在一个地方。

还有一件事：把管理接口从公网撤下来。这件事我说过很多遍，但每次漏洞爆发，总能看到管理端口直接暴露在外的设备。你花几十万买的防火墙，管理界面挂在公网上，等于把保险柜的钥匙插在锁孔里。

漏洞会一直有。10.0 分的漏洞也不会是最后一个。但每次看到这种新闻，我都会想同一个问题：我们到底是在买安全，还是在买一种“已经安全了”的感觉？这两件事，差别很大。