2017年9月7日，软件美国信用报告机构Equifax披露了一起数据泄露事件。漏洞例攻击者利用的软件是Apache Struts框架的一个已知漏洞——CVE-2017-5638。这个漏洞存在于Struts 2的漏洞例Jakarta Multipart解析器中，攻击者只需构造一个恶意Content-Type头，软件就能在服务器上执行任意命令。漏洞例Equifax直到漏洞被利用两个多月后才察觉，软件1.43亿美国用户的漏洞例姓名、社保号、软件出生日期、漏洞例地址，软件部分驾照信息，漏洞例以及约20.9万张信用卡数据被拖走。软件

代价是漏洞例惨烈的。Equifax股价暴跌超过30%，软件CEO、CSO、CISO相继离职，公司最终支付了至少5.75亿美元的和解金——这还不算后续的诉讼和品牌修复费用。讽刺的是，Apache在2017年3月就发布了修复补丁，Equifax的IT部门也收到了通知，但负责维护该系统的工程师认为“这个系统不对外暴露”，没有及时打补丁。事实上，该系统不仅暴露在公网，还恰好是处理消费者争议申诉的入口。

这起案例把安全圈里那句老话砸得震耳欲聋：漏洞从来不是技术问题，是管理问题。补丁管理流程的缺失，远比那个RCE漏洞本身更致命。Equifax内部有超过8000个服务器，安全团队只有不到10个人负责漏洞扫描和补丁跟进，他们甚至用Excel表格在手动跟踪哪些系统打了补丁——这种操作方式在2017年的财富500强公司里出现，听起来像天方夜谭，但它是真的。

我见过太多类似的场景。很多企业把“安全”等同于买防火墙、装杀毒软件，却忽略了一个朴素的真理：软件漏洞是代码里长出来的，它不会因为你买了设备就消失。Struts这个框架当年在全球有超过65%的财富100强公司使用，漏洞公布后，安全社区立刻出现了公开的利用脚本，攻击者根本不需要什么高深技术，照着PoC改一改就能打。Equifax不是被什么国家级黑客用零日漏洞击穿的，它败给了一个公开了六个月的漏洞，败给了内部流程的懒惰和混乱。

从技术细节往后看，你会发现更深层的教训。Equifax的漏洞扫描工具其实在4月就扫到了这个风险，但生成的报告被标记为“中危”——因为CVSS评分系统给这个漏洞打了8.5分，而他们的内部标准是9分以上才算高危。安全团队的人力不够，只能优先处理高分项。你看，评分标准、优先级排序、响应流程，任何一个环节的偏差，都会让一个已知漏洞变成灾难。这就像你家里装了烟雾报警器，但它设定的触发浓度太高，等它响起来的时候，火已经烧穿了天花板。

别急着嘲笑Equifax。2023年MOVEit Transfer的SQL注入漏洞又放倒了一大片企业，包括英国广播公司、英国航空、壳牌石油——MOVEit的厂商Progress Software在漏洞公开前就发布了补丁，但很多客户依然在几周甚至几个月后才完成更新。历史每次都用同样的姿势重演。软件漏洞的案例讲到最后，核心永远是那句话：补丁不是可选项，是你跟攻击者之间的赛跑。你跑慢了，数据就是别人的了。