2021年12月，中国Apache Log4j2被曝出一个远程代码执行漏洞。软件一个叫LDAP的漏洞查询功能，能被攻击者用来加载恶意代码。中国全球数百万台服务器在几天内紧急打补丁。软件中国不少互联网公司的漏洞运维半夜被叫起来加班，有人在朋友圈发了一句：“这玩意儿比过年还热闹。中国”

这不是软件孤例。中国软件漏洞的漏洞问题，从来不是中国“有没有”，而是软件“有多少、多严重、漏洞多晚才被发现”。中国

国内很多软件项目，软件尤其是漏洞政企定制系统，开发周期被压缩到离谱。一个本该半年的项目，三个月上线，测试时间只剩两周。测试人员拿着用例跑一遍，功能能走通就算过关。安全测试？那是“额外需求”，合同里没写就不做。结果就是，SQL注入、越权访问、文件上传漏洞，像钉子一样钉在系统里，一钉就是好几年。

我见过一个县级政务系统，登录接口的密码字段直接明文传输，后台数据库里密码也是明文存储。问开发团队，回答是：“内网系统，没人会攻击。”可后来这个系统要对接省级平台，内网变外网，漏洞直接暴露。补丁打了三个月，还没完全堵住。

开源软件的情况更微妙。国内大量项目依赖Spring、Struts、Fastjson这些国外框架。Fastjson的反序列化漏洞从2017年到现在，修修补补至少几十个CVE。每次出新漏洞，国内厂商的反应速度参差不齐。大厂有安全团队，几小时内出方案；中小公司只能等社区补丁，或者干脆装作不知道。有个做电商的朋友告诉我，他们用的一个老版本Fastjson，直到服务器被挖矿木马占了CPU才被发现。那时候漏洞已经公开半年了。

漏洞报告机制也有意思。国外有CVE、有HackerOne，白帽子提交漏洞能拿奖金。国内虽然也有CNVD、补天平台，但很多厂商的态度是“你报漏洞就是想敲诈”。2019年有个白帽子提交了某银行App的漏洞，结果被银行报警，理由是“涉嫌入侵计算机系统”。这事在圈子里炸了锅，后来虽然和解了，但寒了不少人的心。现在很多白帽子发现漏洞，先发推特，再考虑要不要报给厂商。

供应链攻击是另一个痛点。2020年SolarWinds事件后，国内开始重视软件供应链安全。但重视归重视，实际操作中，很多公司连自己的依赖树都理不清。一个项目用了A库，A库依赖B库，B库又依赖C库，C库三年前就没人维护了。这种“僵尸依赖”随处可见。你问开发为什么不升级？回答是：“升级了怕不兼容，出问题谁负责？”

监管在收紧。《网络安全法》《数据安全法》《个人信息保护法》陆续出台，等保2.0也把安全漏洞管理写进去了。但执行层面，还是“出了事才查”。日常巡检？很多单位连资产清单都没有。一个漏洞从被发现到被利用，平均时间窗口是几天到几周。国内很多系统，补丁周期是按月算的。

说到底，中国软件漏洞的核心问题不是技术，是态度。安全被当成成本，不是底线。开发赶进度，测试走过场，运维没权限，领导不重视。直到数据泄露、服务器被控、业务停摆，才想起来找安全团队。那时候，漏洞已经不只是漏洞了，是事故。

Log4j那次，有人连夜写了检测工具，有人直接改了JVM参数。但下次呢？下次可能是另一个开源组件，另一个被遗忘的接口，另一个“内网系统”。漏洞永远会有，问题是你准备什么时候面对它。