人比漏洞可怕

引言

这两天，PHP基金会（一个致力于确保PHP语言长期繁荣的集体组织）公开了PHP软件中的两个关键远程代码执行（RCE）漏洞。像往常一样，几乎整个网络安全圈子都在讨论这些漏洞。。。

知名网络安全专家 Marcus Hutchins 在X上的帖子吸引了笔者的注意。

由于有人正在指责威胁情报专业人员“淡化PHP漏洞的严重性”（实际上他们只是在清晰、简洁地传达自己实际看到的情况），因此有必要解释威胁情报究竟是什么。

一、老旧系统的现实困境

设想一家医院或电力公司。大量系统基于非常老旧的PHP版本构建。PHP在不同版本之间增加、删除或修改功能并不罕见。因此，如果你落后若干个版本，直接升级到最新版本往往会破坏软件——因为软件所依赖的功能被移除或更改了。

在这种情况下，服务提供商只有两个选择：

• 将软件下线，直到他们能把代码更新到适配最新PHP版本为止；

• 慌忙安装补丁，结果导致软件崩溃，进而引发大规模中断。

无论哪种情况，基本上都有100%的概率造成服务中断。另一方面，他们也许会被入侵，也许不会；入侵也许会导致中断，也许不会。现实情况下，在这种条件下，打补丁导致中断的概率实际上高于不打补丁。

二、风险权衡：中断 vs 入侵

如果这种中断会导致医院不得不关门，或电力公司的基础设施下线，那么正确的选择是什么？是承担被入侵的风险，还是明知会造成威胁生命的中断而仍选择这样做？

网络安全固然重要，但存在比被入侵严重得多的风险。

我当然希望能登录abc.com，发一句“漏洞很危险，请打补丁”，然后所有人就都安装了补丁。但那不是我们生活的世界。

现在，如果我开始看到有人正在构建能够利用该PHP漏洞在系统间自我复制的勒索软件，并将这一情况传达出去，这就会大幅改变许多人的风险计算。他们的选项将变成：要么100%概率发生中断，要么极高概率发生中断外加灾难性数据丢失。在这种情况下，他们极有可能会选择打补丁或将软件下线。

虽然我给出的假设属于极端情况，但许多组织确实将“被入侵”视为开展业务的成本之一。让对组织运行至关重要的软件下线，绝非容易做出的决定，也不会被轻易执行。

三、“狼来了”的代价

我们并不生活在每个组织都会在漏洞公布当天就安装所有补丁的理想世界里。网络安全既昂贵又耗时。甚至让人们愿意给系统打补丁本身，就是一场无尽的艰难斗争。

大多数组织都知道，大约每10000个严重漏洞中，实际被利用的只有1个左右。而那些“这是有史以来最严重的漏洞，天塌了”类型的漏洞中，真正造成重大损失的可能不到50%。

建立信任需要很长时间，失去信任却只需很短时间。过度炒作几个漏洞，人们很快就会停止倾听你。你非常容易成为“狼来了”的男孩。你能让安全团队陷入恐慌的次数是有限的，超过一定次数后他们就会完全不再理你。

组织的资源也是有限的，因此当你高喊“着火了”时，很有可能他们正在投入自己并不具备的资源：让员工通宵工作、从其他事务中抽调人手、引入外部支援。你大概并不希望因为你认为某个漏洞“很酷”而把所有安全资源都调过去，结果导致某个组织遭到勒索软件攻击。

四、威胁情报的真正意义

没有人在淡化任何事情。他们只是在准确传达自己所看到、所知道的情况，以便组织能够做出尽可能知情的风险管理决策。这就是这场游戏的规则，也是威胁情报存在的意义。

如果你想替某个组织处理其安全事务，并亲自承担可能让他们损失数十亿美元或导致其客户死亡的风险，那就去加入一家MSSP（托管安全服务提供商）或关键基础设施提供商。我可以保证，那比你想象的要压力大得多。

决定组织自身风险模型并不是我们的工作。我们的工作是尽可能向真正做决策的人提供最充分的信息。仅仅因为某位漏洞研究人员认为我们没有把漏洞炒作得足够严重，并不意味着他们就是对的。

根据我最后一次看到的数据，4200万个系统中只有大约930万个安装了补丁。这就是我们生活的现实。如果我们高喊“着火了”，也许能把这个数字提升到1000万，但如果什么都没发生，其代价可能是下一次有大约200万个系统更不愿意打补丁。

这些是我们必须面对的真实风险。它们不是一次性事件。人们下次会记住我们这次建议的准确性。根据我们在以往事件中对风险沟通的准确程度，更多或更少的人会决定是否安装安全修复。

威胁情报是一场极其复杂的数字游戏，其中从来没有绝对正确的答案。

五、漏洞不可怕，恐慌才可怕

漏洞本身并不可怕。它只是一段代码中的缺陷、一个配置上的疏忽，或一次实现上的疏漏。只要被正确识别、评估和处置，它就可以被补丁、缓解措施或架构调整所消化。真正令人不安的，从来不是漏洞本身，而是围绕漏洞被制造出来的“恐慌”。

在网络安全行业，漏洞公开之后，往往伴随着一波又一波的“恐吓式”信息：标题用词极端，影响范围被无限放大，利用难度被刻意降低，后果被描述成“即将发生的灾难”。这些信息有时来自安全厂商的营销内容，有时来自希望快速获得关注的研究人员，有时则来自互相追逐热点的媒体。它们共同的特点是，把一个需要理性评估的风险，迅速包装成必须立刻行动、否则后果不堪设想的威胁。

这种做法的短期效果是明显的：厂商获得了曝光和销售线索，相关产品被紧急采购，安全团队被要求连夜加班。但长期代价更为沉重。当每一次“严重漏洞”都被描绘成天塌了，当“必须立即打补丁”成为默认话术，组织就会逐渐失去判断力。真正需要优先处理的问题被淹没在噪音之中，有限的人力和预算被反复消耗在高声量但低实际风险的事件上。更危险的是信任的流失——一旦组织发现多次“重大威胁”并未如宣称般发生，他们下一次面对真正紧急的告警时，反应就会变得迟钝甚至麻木。

更现实的问题是，很多系统并非随时可以安全地打补丁。医院、能源、制造等关键领域中，大量业务系统运行在老旧版本上，升级可能直接导致服务中断。对于这些组织而言，中断本身就可能威胁生命或造成重大社会影响。此时，如果安全建议只是简单高喊“尽快修复”，却不提供可操作的风险背景、利用现状和替代缓解措施，就等于把决策压力全部推给了无法承受中断的一方。理性的风险管理，本应在“被利用的概率”与“中断的确定性代价”之间进行权衡，而恐吓式信息恰恰把这种权衡空间压缩到近乎为零。

结语

行业需要警惕的，不是漏洞的数量，而是持续消耗信任的沟通方式。每一次过度渲染，都会让下一次真正重要的告警更难被听见；每一次把营销目标凌驾于风险事实之上，都会让安全建议的公信力再降一分。漏洞可以被修复，信任一旦被透支，恢复起来却要漫长得多。