一年前的零日，还在喂饱勒索团伙

一年前的零日，还在喂饱勒索团伙

一扇一年前就该锁上的门，勒索团伙至今还在从里面自由进出。

Symantec 的追踪显示，Warlock 勒索软件仍在利用未修复的 SharePoint 漏洞，持续入侵全球的水务公用事业、电信运营商、政府机构和大学。这批漏洞正是 2025 年年中轰动一时的 ToolShell 零日链。一年多过去，攻击者没有换武器，防御者也没能把门焊死——这才是整件事最值得警惕的地方。

漏洞不是新闻，漏洞的「保质期」才是新闻。当一条利用链的生命周期从「补丁发布的 72 小时」拉长到「一年以上」，整个安全产业的前提假设都要重写。

🚪 同一扇门，敲了一年

金句：零日只是入场券，未修复的门才是永久通行证。

把时间拨回 2025 年年中。Warlock 因为利用一组 SharePoint 零日漏洞——安全社区将其 collectively 命名为 ToolShell——而登上各大媒体头条。当时业内普遍的判断是：补丁落地、舆情发酵之后，这扇窗口会在几周内关闭。勒索攻击的常规剧本也确实如此：热度最高的窗口期最危险，热度一过，攻击者转向下一个猎物。

但剧本这次失灵了。据 Symantec 的持续追踪，一年多以后，同一伙人还在用同一把钥匙开门，而且「还是能进去」。这不是攻击者技术多超前，而是补丁在整个受害面中的渗透速度远慢于所有人的想象。

产业逻辑在这里很冷峻：头条报道的是「零日被利用」，但真正的攻击总量发生在头条之后的漫长时间里。对一个全球分布、版本碎片化的产品而言，零日曝光只是利用曲线的起点，而不是峰值。Warlock 选择的不是最锋利的武器，而是最耐用的武器。

🏭 关键基建为什么总在名单上

金句：水务系统不追热点，但勒索团伙追。

Warlock 的目标清单值得逐行看：水务公用事业、电信、政府、大学。素材里点出的这四类目标，几乎就是「补丁最难落地」的代名词。水务系统是典型的不间断运营环境，一台产线服务器重启窗口可能要排队数月；政府与高校则是资产归属分散、外包运维混杂、影子 IT 泛滥的重灾区。

据多位做关基应急响应的从业者私下吐槽：「水务客户不是不知道有漏洞，是开会排期排到下个季度。」变更审批、业务连续性要求、老旧系统兼容性，层层叠叠，把「打一个补丁」变成了一个跨部门工程项目。而攻击者那边，一条 ToolShell 利用链可以直接复用，边际成本几乎为零。

这就形成了一个不对称的死循环：防守方的修复以「月」为单位，攻击方的复用以「分钟」为单位。素材中「still getting in」这个表述之所以刺眼，是因为它意味着受害者清单还在增长——包括那些属于关键基础设施、一旦中断就影响公共服务的系统。

🤖 攻击者的工具箱也在换代

金句：连专门披露漏洞的机构，都被两个零日打了。

就在 Warlock 还在敲旧门的同时，另一条消息让业内倒吸一口凉气。荷兰漏洞披露研究所 DIVD（Dutch Institute for Vulnerability Disclosure）披露：该机构自身遭遇了一次由 agentic AI（智能体化 AI）驱动的攻击，攻击中利用了开源工单系统 Zammad 的两个零日漏洞。

这个案例的讽刺性拉满——DIVD 是全球漏洞协同披露体系里的关键节点，每天都在帮别人处理漏洞，结果自己成了双零日攻击的受害者。更值得注意的是攻击方式的变化：不是人工渗透测试式的「拿锤子找钉子」，而是 agentic AI 把侦察、漏洞利用、横向移动的环节自动化串联起来，让一次定制化攻击的执行成本大幅下降。

把两条素材放在一起看，攻击侧正在发生两件事：一是存量武器化——像 ToolShell 这样的旧漏洞链被长期复用，吃尽补丁渗透的时间差；二是增量自动化——agentic AI 把攻击者的产能曲线整体抬升。前者靠防守方的惰性，后者靠攻击方的技术红利，两头一起挤压防御者的生存空间。

据圈内一位做威胁情报的朋友的说法：「以前攻击者是手工作坊，现在开始上流水线了，而我们很多客户还在等季度例会批补丁。」

🧭 防御的经济学：补丁为什么永远迟到

金句：安全的竞争，本质是修复速度和复用成本的竞争。

把 Warlock 一年不换门的现象翻译成产业语言，就是一句话：漏洞利用的边际成本趋近于零，而漏洞修复的边际成本居高不下。补丁从厂商发布到全球大多数环境完成部署，中间隔着资产测绘、变更审批、业务窗口、回归测试四道坎，每一道都以周计。攻击者只需要在时间差的某一端蹲守。

这也是为什么越来越多安全团队开始承认一个现实：「打上所有补丁」不是一个可执行的目标，「假设有未修复漏洞」才是。 在这个前提下，暴露面收敛的价值被重新定价——互联网上少暴露一个 SharePoint，就等于替补丁争取了几个月的缓冲期；虚拟补丁、行为检测、最小权限，都是在给「必然迟到的补丁」争取时间。

对厂商而言，这条逻辑同样成立。漏洞管理、暴露面管理（ASM）、虚拟补丁类产品在 ToolShell 这类长周期事件里的商业价值，恰恰来自于攻击面的「长尾」。据接近厂商的人士透露，每次高调漏洞事件后，这类产品的询价都会迎来一波脉冲——只是脉冲之后，真正把流程建起来的客户仍是少数。

小结：漏洞会老，利用不会

Warlock 用一年时间证明了一件事：零日漏洞的杀伤力不在曝光当天，而在之后几百天的补丁时间差里。而 DIVD 遭遇 agentic AI 驱动的 Zammad 双零日攻击则提示，攻击侧的自动化产能也在同步抬升。一旧一新两条线，指向同一个判断——未来衡量一家企业安全水位的关键指标，不再是「有没有被打了零日」，而是「从漏洞曝光到完成修复要多少天」。修复速度，正在成为新的护城河。