安全研究员提醒:漏洞披露被误读为在野利用,恐慌被放大
sebkrier · x · 2026-10-22
安全研究员 S1r1u5 发长推指出,近期安全事件盘点让许多人混淆了「漏洞披露」与「主动在野利用」,造成不必要的恐慌——绝大多数是研究员提前发现并修复的 bug。他按日期分类了最近的事件:
- 10 月 21 日:php2shell(8 月已报告)、Node.js(已修补)、GitLab(已修补)、Railway(真实入侵)、LiteLLM(供应链投毒)、SBI(数据暴露)、eMudhra(披露)
- 10 月 20 日:Plex2Shell(披露 + 在野利用)、SiteGuard(在野利用)、Siemens(在野利用)
- 10 月 19 日:OVHcloud CLI(供应链投毒)
- 10 月 17 日:OpenCode(安全入侵)
结论:真正被主动利用的只有少数几起,大部分「安全事件」其实是负责任的漏洞披露。
「安全」频道最新
- tszzl 断言 AI 攻防不对称难扭转：每个新模型都在开辟攻击面 — tszzl · 2026-10-22
- 24 小时内 4 起 CVSS-10 漏洞，开发者做自动 SRE 工具自动修复 — viksit · 2026-10-22
- 梗图式调侃:无审查中国模型正狂扫脆弱 PHP 实例 — tszzl · 2026-10-22
- 「大黑客纪元」来临:网络安全乱局正是理性主义者预言的 AI 风险 — paraschopra · 2026-10-22
- AI 补丁速度须跟上攻击：工程师只处理需要判断的少数案例 — saranormous · 2026-10-22
- CVE 月披露量从 4千飙至 1.5万，saranormous 称必须重写软件安全规则 — saranormous · 2026-10-22