2023年7月，安全漏洞360安全卫士被曝出存在一个高危漏洞，安全漏洞攻击者能利用它远程执行任意代码，安全漏洞直接拿下电脑的安全漏洞完全控制权。这不是安全漏洞小打小闹的弹窗广告问题，而是安全漏洞能让你电脑变成肉鸡的那种级别。CVSS评分高达9.8，安全漏洞几乎接近满分——意味着这个漏洞极其容易利用，安全漏洞且危害巨大。安全漏洞

事情是安全漏洞这样被发现的。奇安信旗下的安全漏洞红雨滴团队在分析360某款产品时，注意到它处理特定格式文件的安全漏洞方式不太对劲。该软件在解析文件中某个字段时，安全漏洞没有严格校验长度边界，安全漏洞导致内存缓冲区溢出。安全漏洞攻击者只要诱导用户打开一个精心构造的恶意文件，就能在系统权限级别执行任意代码。更麻烦的是，360安全卫士默认开机自启，常驻系统底层，权限极高，这等于给攻击者敞开了一扇后门——而且这扇门还是带自动锁的，用户根本不会察觉。

有意思的是，360官方回应速度不算慢。他们在一周内发布了紧急更新，修复了该漏洞，还发布公告提醒用户尽快升级。但从漏洞被公开到补丁落地，这中间的空窗期，足够攻击者利用它搞一波大动作。我有个朋友在某外企做安全运维，他当时跟我说，收到漏洞情报后第一时间排查了公司所有装有360的终端，结果发现有三台机器在补丁发布前就已经被植入了后门程序。好在发现及时，没有造成更大的数据泄露。

这件事暴露出的核心问题，不是360技术不行，而是安全软件本身成了最危险的攻击面。杀毒软件为了能扫描所有文件、监控所有进程，必须拥有系统最高权限，这等于把钥匙挂在门口。一旦锁芯被撬开，整栋楼都失守了。更尴尬的是，360的产品线极其庞杂，从安全卫士到浏览器、压缩软件、输入法，每一款都带“安全”标签，但每一款都可能藏着未知漏洞。用户装了全家桶，等于给自己家里装了一堆带锁的保险柜，但每个保险柜的钥匙都放在同一个容易被找到的地方。

这事儿还带出另一个现实问题——安全公司的盈利模式与安全本质存在天然矛盾。360靠免费杀毒起家，流量变现靠的是弹窗广告和捆绑安装。为了维持商业运转，它必须不断推送自家产品，这就导致软件体积越来越臃肿，功能越来越复杂，代码量越大，漏洞自然越多。我见过不少老电脑，光360全家桶就占了将近1GB内存，后台进程十几个，这哪里是防护，分明是给系统添堵。

从用户角度看，这事儿给我们的教训很直接：别迷信任何一家安全厂商。杀毒软件不是护身符，它本身也可能是漏洞的载体。定期更新补丁、减少不必要的软件安装、对来源不明的文件保持警惕，这些基本功比装什么“安全套装”都管用。360的这次漏洞只是冰山一角，所有常驻后台、拥有高权限的软件，都值得你多留个心眼。

(责任编辑：休闲)