漏洞变身

2021年冬天，漏洞变身Log4j2的漏洞变身那个漏洞把半个互联网掀翻了。一个叫JNDI注入的漏洞变身东西，能让攻击者通过一行日志字符串直接加载远程恶意代码。漏洞变身全球安全团队连夜加班，漏洞变身CVSS评分拉到满分10.0。漏洞变身但真正让我觉得有意思的漏洞变身，不是漏洞变身漏洞本身有多严重，而是漏洞变身它后来变成了一件武器——不是攻击者的武器，是漏洞变身防守方的。

我认识一个在金融公司做安全的漏洞变身老哥，那阵子他们内部推安全整改方案，漏洞变身推了半年推不动。漏洞变身业务部门永远一句话：影响上线进度。漏洞变身Log4j2爆出来那天晚上，漏洞变身他给我发了条语音，语气里带着一种诡异的兴奋：“这回不用我推了，CEO自己打电话问我们有没有中招。”后来他们借着这个漏洞，把全公司的依赖组件清单一次性理清了，顺手砍掉了十几个没人维护的老旧服务。一个漏洞，干了他们安全部门三年没干成的事。

这就叫漏洞变身。它从技术缺陷变成了组织变革的杠杆。

类似的戏码我见过不止一次。2017年WannaCry勒索病毒横扫全球，英国NHS系统瘫痪，手术取消，病人转院。事后英国政府被迫给整个医疗系统拨了一笔网络安全专项预算。那笔钱在和平时期写报告申请，大概率石沉大海。但当医院真的因为病毒停摆、病人真的因此受影响的时候，预算就批下来了。漏洞没有变，变的是它撬动的资源。

再往深一层看，漏洞变身还有一种更隐蔽的形态：它变成了一种话语权。谁能定义漏洞的严重性，谁就掌握了议程设置权。厂商说“低危”，安全研究员说“高危”，媒体说“核弹级”，三个版本的故事同时存在。CVE编号是客观的，但围绕它的叙事全是主观的。微软给某个漏洞标了“利用可能性低”，结果三个月后野外利用样本满天飞，这种打脸的事在圈子里不算新闻。每一次打脸，都是安全社区从厂商手里抢回一点话语权的时刻。

我自己的观察是，漏洞变身的路径通常是这样：技术漏洞被披露→引发恐慌或关注→恐慌转化为压力→压力推动资源重新分配→资源分配改变权力格局。这里面每一步都不是自动发生的，有人在推。那个金融公司的安全老哥在推，NHS事件后英国议会的议员在推，那些在Twitter上公开怼厂商的安全研究员也在推。漏洞是死的，人是活的。

但这里面有个让人不太舒服的真相。大多数组织只有在漏洞变成事故之后才会真正行动。Log4j2之前，Apache基金会不是没提醒过JNDI的风险。WannaCry之前，微软不是没发过补丁。漏洞一直都在，只是没人听。非要等到它变身成一场灾难，才有人愿意坐下来谈。这大概就是安全行业的宿命——你的成功永远建立在别人的失败之上，而你的话语权永远建立在别人的疼痛之上。

所以下次再看到一个漏洞刷屏的时候，别光盯着技术细节看。看看谁在借它说话，谁在借它要钱，谁在借它重新划分地盘。漏洞变身这件事，技术只是外壳，权力才是内核。