教育漏洞报送平台上线三个月，教育后台收到有效漏洞报告两千一百三十七条。漏洞这个数字比预期高出四倍。报送

我翻看那些报告，平台像打开一扇扇教室后门。教育最扎心的漏洞一条来自河南某乡镇中学，报告人写：“学校机房电脑装的报送是Windows XP系统，学生机开机密码是平台admin，老师机密码是教育admin123。”就这么赤裸裸地摊在公网上，漏洞像没锁门的报送仓库。

报送平台的平台设计很朴素——一个表单，一个上传按钮，教育没有花哨的漏洞排行榜。但就是报送这简单到近乎简陋的界面，撬动了一线教师的表达欲。过去他们发现问题只能在学校内部消化，或者干脆憋着。现在有了个出口，积压的观察像开闸的水。

我注意到一个规律：报告高峰集中在深夜。凌晨一点到三点，提交量占全天四成。这个时间点谁在报？大概率是刚下晚自习的年轻教师，或者失眠的教务主任。他们白天没空，只有夜晚属于自己的时候才想起这些“不该自己管的事”。有个ID连续两周在凌晨两点半提交报告，内容从“教务系统导出成绩时存在SQL注入可能”到“食堂刷卡机消费记录可篡改”，跨度大得让人怀疑他是不是兼职了保安和厨师。

漏洞类型分布也很有意思。你以为最多的是技术漏洞？不是。占比最高的是“管理流程漏洞”，接近五成。比如“转学学生的学籍信息删除流程没有复核环节”“教师调课后课表变更通知只发到年级群，不通知家长端”。这些不涉及一行代码，却实实在在卡着教育系统的脖子。

平台运营组有个不成文的规定：每条报告必须人工回复，哪怕是句“已转交给相关科室”。有个退休返聘的老教研员负责回复，他总爱在答复末尾加一句个人点评。有次他回复：“该问题三年前就有老师口头反映过，当时没记下来，现在补上。”这话让我愣了半天——漏洞报送平台本质上是个记忆的补丁，补的不是技术的洞，是组织遗忘的洞。

当然也有让人哭笑不得的报告。有人提交“学校WiFi密码太复杂，学生记不住，写在黑板上又被隔壁小区居民抄走”。这算漏洞吗？运营组讨论了半天，最后归类为“物理安全边界模糊”。你看，教育系统的漏洞从来不只是屏幕上的弹窗。

数据还在涨。上周单日新增报告破百，服务器差点没扛住。技术员紧急扩容时嘟囔了一句：“没想到教育系统藏了这么多明白人。”这话点破了平台的价值——它不生产发现，它只是把散落在各间办公室抽屉里的发现，收拢到同一张桌上。至于这些发现最终能补上多少洞，那是另一个漫长故事的开头。