企业数据的搬运工，成了黑客正门

一周之内，企业数据链路的两端接连失守。

10 月 6 日，Veeam 发布安全更新，修复了一个 CVSS v4.0 评分高达 9.4 的关键漏洞——低权限用户可以在备份服务器上执行远程代码。几乎同一时间窗口，安全研究团队 watchTowr 披露了 Progress ShareFile 的两个漏洞组合：无需任何身份认证，即可从受影响环境中窃取文件并拿下服务器。

把这三条情报放在一起看，一个再明显不过的趋势浮出水面：攻击者的主战场，正在从邮件网关、VPN 这些传统入口，转向备份与文件传输这类"数据搬运工"基础设施。这不是巧合，是产业逻辑的必然。

🔓 一条无需认证的攻击链，是怎么拼出来的

先看 ShareFile 这条链——它是理解当代漏洞利用的绝佳样本。

watchTowr 的研究人员在 ShareFile 5.x 分支的 Storage Zones Controller（SZC，存储区域控制器）组件中发现了两处缺陷：一处认证绕过漏洞 CVE-2026-2699，一处远程代码执行漏洞 CVE-2026-2701。SZC 这个组件的定位很微妙——它允许客户把数据存在自有基础设施（本地或第三方云）而不是 Progress 官方系统里，本意是让企业对数据有更强的控制权。

讽刺的是，"更强的控制权"意味着更复杂的配置面，而配置面正是漏洞的温床。

整条攻击链并不复杂，但设计得相当精巧：

关键在第二步到第四步之间的递进。单看 CVE-2026-2701 这个 RCE，利用条件并不低——攻击者需要生成合法的 HMAC 签名，还要提取和解密内部密钥，按理说是个高门槛活。但 CVE-2026-2699 把这扇门从里面打开了：由于系统对 HTTP 重定向处理不当，攻击者可以直接访问管理后台，进而修改存储路径、区域密钥等敏感安全参数。密钥自己送上门，签名自然就"合法"了。

数字不乐观。watchTowr 的扫描结果显示，约 3 万个存储区域控制器实例暴露在公网；ShadowServer 基金会监测到约 700 台可公网访问的 ShareFile 实例，主要分布在美国和欧洲。研究人员于 2 月 6 日至 13 日期间发现这两个漏洞，完成负责任披露后，Progress 已发布 ShareFile 5.12.4 版本修复。

这里有一个值得所有安全团队记住的判断：单个"中看不中用"的漏洞，加上一个"配置面漏洞"，等于一条完整的未认证攻击链。评估风险时只看单点 CVSS 分数，会系统性低估组合利用的威胁。

📦 文件传输平台：勒索团伙的"高速公路"

如果说 Veeam 是备份侧的故事，ShareFile 则属于一条更长的叙事线——企业级文件传输平台，历来是勒索软件团伙的重点攻击目标。

这类产品的商业模式决定了它的原罪：企业为了合规和管控，把原本分散的文件共享行为集中到一台设备上。数据越集中，越符合监管要求，也越值钱——对攻击者来说，打穿一台设备等于拿到一个行业的数据池。

这不是理论推演，是 Clop 勒索组织反复验证过的打法。此前 Clop 就曾利用以下产品中的漏洞实施大规模数据窃取：

注意这张表的规律：几乎每隔一段时间，就有一款文件传输产品被同一个组织"翻牌子"。攻击者不是在碰运气，而是在执行一套成熟的选品逻辑——找数据密集、暴露公网、补丁周期长的设备类产品。

这张四象限图解释了为什么 ShareFile 的存储控制器（左上角）如此危险：利用门槛低（认证绕过开路），数据价值高（企业文件集中地），而且大量实例直接暴露公网。据多位接近 incident response 一线的人士透露，近两年应急响应案例中，文件传输和备份类设备的占比明显上升，"打入口不如打数据仓库"已经成为部分团伙的共识。

对企业的启示很直接：把文件传输平台当核心业务系统做安全运营，而不是当外围工具。暴露面盘点、补丁 SLA、异常外联监控，一个都不能少。

💾 备份服务器神话的破灭：Veeam 的 9.4 分

备份服务器在安全架构里的角色，一直是"最后的防线"。勒索软件的教科书式打法是先加密数据、再摧毁备份，逼企业就范——所以备份系统理应被保护得最好。

但 Veeam 这次披露的 CVE-2025-64393，撕开了这层假设：该漏洞允许低权限用户在 Veeam Backup Server 上执行远程代码，CVSS v4.0 评分 9.4，属于关键级别。官方修复版本为 Veeam Backup & Replication 12.3.2 P4（build 12.3.2.4934），于 10 月 6 日发布，受影响版本包括 build 12.3.2.4854。

用一张图看清这组数字的含义：

"低权限"三个字是这则情报里最值得咀嚼的部分。备份服务器的威胁模型，业内长期按"管理员权限被窃取"来设计——但现实中，一个域内普通账号、一台被攻陷的办公终端，就足以触达这个攻击面。这意味着备份服务器不再是独立的堡垒，而是横移链路上的普通一站。

产业逻辑层面的判断是：备份系统正在从"保险柜"变成"钥匙柜"。它掌握着全部关键数据的存取路径和调度权限，一旦被控制，攻击者不需要加密任何文件，就已经站在了谈判桌的最有利位置。备份基础设施的权限收敛、网络隔离、操作审计，应该按核心生产系统的标准重新做一遍——大多数企业目前做的是"防火"标准，而它需要的是"防内鬼"标准。

🤖 当扫描、僵尸网络和手工利用流水线化

前面三个案例讲的是"打什么"，FBI 的最新联合通告则回答了"怎么打"。

10 月 8 日，FBI 与多国网络安全机构发布联合通告，指出与中国政府关联的攻击者正在使用自动化漏洞扫描、大规模僵尸网络和手工深度利用相结合的方式，在全球范围窃取敏感信息。通告点名总部位于中国的 Integrity Technology Group 是相关行动的协助方，目标涵盖关键基础设施、政府机构和医疗系统等。

（需要说明的是，以上为该联合通告的官方陈述与归属判断，被点名方与中国官方的关联存在争议口径，读者应将其作为一份情报信号而非最终定论来消化。）

抛开归属争议，通告描述的攻击工业化分工值得所有防守方警惕：

• 2026 年 10 月 6 日：Veeam 发布 12.3.2 P4，修复低权限 RCE 漏洞 CVE-2025-64393（CVSS 9.4）
• 2026 年 2 月：watchTowr 发现 ShareFile 认证绕过（CVE-2026-2699）与 RCE（CVE-2026-2701），随后 Progress 发布 5.12.4 修复
• 2026 年 10 月 8 日：FBI 及多国机构发布联合通告，点名自动化扫描+僵尸网络+手工利用的组合打法

这套打法的可怕之处在于规模与精度的结合：自动化工具负责在数以万计的暴露实例中筛出可利用目标——还记得那 3 万台暴露的存储区域控制器吗？僵尸网络负责维持据点、放大攻击流量，而真正值钱的目标，再交给人工深入利用。

小结

Veeam 的 9.4 分、ShareFile 的未认证攻击链、FBI 通告里的工业化分工——三条线索指向同一个判断：数据在哪里集中，攻击就在哪里发生，无论那是备份柜还是中转站。对企业而言，补丁窗口期就是生死时速，10 月 6 日发布的 Veeam 修复版本和早已可用的 ShareFile 5.12.4，值得本周就排上变更窗口。而更长久的答案，是把暴露面管理和攻击链视角变成安全团队的日常动作，而不是应急响应之后的复盘报告。下一款被"翻牌子"的文件传输产品，名单其实并不难猜——难的是猜中之前，你补没补上。