文件中转站，成了勒索团伙的前门

同一个补丁日窗口里，SonicWall 的边界设备在被攻击，Microsoft 一口气修了 398 个洞，Progress 的文件共享产品被曝出一条无需认证即可远程执行代码的完整链路。三件事看似独立，指向的却是同一个判断：攻击者不再费劲撬你的办公室，他们在盯你的『门』——边界设备和文件中转的必经之路。

对企业安全团队来说，这不是新故事，而是老剧本换了个新舞台。真正值得追问的是：为什么门越修越多，门上的锁却总是慢半拍？

🚪 边界设备：被反复点名的那把锁

一线应急响应的人有个共识：凌晨三点被叫醒，十有八九是边界设备，而不是终端。

这一次是 SonicWall。其 SMA 1000 系列远程访问设备被曝出一个最高严重级别的 SSRF（服务端请求伪造）漏洞，且攻击者目前正在实际利用，不是 PoC 躺在 GitHub 上等复现，而是流量里已经在打。对 SonicWall 的客户而言，这是个熟悉又不妙的处境：远程接入设备暴露在公网，是攻击链上最靠前、也最没有遮挡的一环。

SSRF 类漏洞的危险性常被低估。它本身不带『执行代码』的噱头，但在真实网络里，一台能替攻击者向内网任意位置发起请求的设备，等于一张免费的内部通行证——穿透 VPN 隔离、触达云元数据接口、对接内部服务，都是顺路的事。

同一时间窗口，Microsoft 发布了覆盖 Windows 及支持软件的更新，修复至少 398 个安全漏洞，其中 1 个已在被积极利用，另有 2 个在补丁发布前已被公开披露。

把三件事放在一起看，产业逻辑就浮出来了：企业攻击面的重心，正在从『人』滑向『盒子』。 终端有 EDR 盯着，人有 MFA 挡着，唯独那些为了业务便利必须暴露在公网的设备——VPN 网关、文件传输平台、存储控制器——成了整条防御链上最薄的那层膜。攻击者的选择题很简单：打穿了办公终端还要横向移动两周，打穿一台边界设备，可能一个周末就够进账了。

🔗 一条不需要密码的完整攻击链

金句不怕老：最危险的漏洞，是让你根本不需要漏洞『打进去』的那一种。

watchTowr 的研究人员在 Progress ShareFile 5.x 分支的 Storage Zones Controller（SZC，存储区域控制器）组件里，发现了两个可以串起来用的漏洞：

• CVE-2026-2699：认证绕过。系统对 HTTP 重定向处理不当，攻击者可以直接访问 ShareFile 的管理后台界面——注意，是管理后台，不是普通用户页面；
• CVE-2026-2701：远程代码执行。通过滥用文件上传与解压功能，把恶意 ASPX 网页后门放进应用根目录。

这条链的精妙之处在中间那一步。研究人员指出，要成功利用 RCE 漏洞，攻击者需要生成合法的 HMAC 签名，并提取和解密内部密钥——单看这一步，门槛不低。但认证绕过成功之后，攻击者可以修改存储区域配置，包括文件存储路径、区域密钥及相关敏感安全参数，把密钥相关的配置项设置成自己能控制的值，后面所有『高难度』步骤就全部变成了照流程走。

换句话说，第一个漏洞不是为了打进去，而是为了让第二个漏洞『变简单』。这是组合利用时代的典型打法：单个漏洞也许都有各自的前提条件，拼起来条件就互相满足了。

而 SZC 这个组件本身的设计目标，放大了后果——它允许企业把数据存在自有基础设施（本地或第三方云），给客户更强的数据控制权。讽刺的地方在于，增强数据掌控力的功能，同时也把数据的『大门钥匙』集中放在了一个可以被绕过的组件里。

📊 暴露面：3 万和 700 之间的鸿沟

数字有时候比漏洞本身更说明问题。

watchTowr 的扫描结果显示，约 3 万个存储区域控制器实例暴露在公网。而 ShadowServer 基金会监测到约 700 台可公网访问的 Progress ShareFile 实例，大部分位于美国和欧洲地区。

两个数字差了四十多倍——扫描口径、服务指纹识别的差异可以解释一部分，但更合理的解读是：大量部署 SZC 的企业，并没有意识到自己的实例在互联网上『可被看见』。这正是暴露面管理最大的痛点：你以为的私有部署，在攻击者的扫描器里是一张清単上的一行。

时间线上，这次的处置节奏算是规范的：

• 2 月 6 日至 13 日：watchTowr 在 Progress ShareFile 5.x 分支 SZC 组件中发现两处漏洞；
• 负责任披露完成后：Progress 发布 ShareFile 5.12.4 版本，修复上述问题；
• 披露后：watchTowr 发布技术报告，ShadowServer 同步暴露面监测数据。

但规范披露和规范处置之间，隔着的是企业自己的补丁速度。历史上几乎每一次文件传输平台的大规模沦陷，补丁和攻击之间拼的都是这个时间差——厂商给了窗口，企业没接住。

🎯 Clop 的猎杀名单：为什么总是文件传输

如果单独看 ShareFile 这次事件，可能觉得是偶发。但把它放进勒索组织的『选品史』里，规律清晰得可怕。

Clop 勒索组织历年利用的文件传输产品漏洞，几乎可以凑成一份行业测评报告：

• Accellion FTA
• SolarWinds Serv-U
• Gladinet CentreStack
• GoAnywhere MFT
• MOVEit Transfer
• Cleo

为什么是这些产品？三个原因叠加：

第一，数据浓度极高。 文件传输平台的存在意义就是集中搬运大体积、高价值的商业数据——财务、法务、客户资料。攻下一个平台，等于拿到了一家企业对外的全部数据咽喉，勒索谈判的筹码一次到位。

第二，必须暴露。 和客户的内外部系统对接，决定了它不能藏在 VPN 后面，公网可达是业务属性，不是配置失误。

第三，代码风格高度同质。 这一品类的核心功能高度雷同——上传、解压、目录管理、权限校验。一个产品里被验证有效的攻击模式，换个产品大概率还能找到相似缺陷。这次 ShareFile 的『上传+解压落后门』，和历史上多起 MFT 沦陷的路径如出一辙。

据多位接近乙方应急团队的人士私下讲，勒索团伙的漏洞采购和利用开发，如今是按『产品线』立项的——盯上一款 MFT 产品，就持续跟进它的版本更新和补丁 diff，抢的就是披露到大规模打点之间的那几天。

🛠️ 防御的答案不性感，但只有这一条

拆完攻击链，回到企业侧最实际的问题：怎么办。

答案没有任何新意，但执行率低得惊人。针对这次的 ShareFile 事件，优先级排序很清楚：

1. 先确认暴露。用 ShadowServer 的数据或自行测绘，确认自己是否在公网运行 SZC 实例——3 万的基数里，很大比例是『部署了但忘了』；

2. 立即升级到 ShareFile 5.12.4。这条链的两个环节都在这个版本修复，不存在绕过的技巧可用；

3. 审计存储区域配置。如果无法排除被利用的可能，必须检查文件存储路径、区域密钥等配置项是否被篡改——这条链的核心就是改配置，事后痕迹会留在这里；

4. 在传输平台前置收敛。WAF/反向代理层限制对管理路径的访问，认证绕过类漏洞的利用前提就塌了一半。

更深一层的产业判断是：文件传输和边界设备这两个品类，需要被企业重新定价。 过去它们被当作『工具』采购，安全预算和关注度按工具给；但攻击者按『数据金矿』给它们定价。定价体系的错位，就是防御投入长期不足的根源。厂商一侧也一样——watchTowr 这种攻击链级的研究披露正在变多，意味着买方市场会越来越习惯用『能不能被组合利用』来审视产品，而不是单看有没有 CVE 编号。

小结：门不会消失，锁必须跟上节奏

这个补丁周期的三件事——SonicWall SMA 1000 在野利用、Microsoft 398 个漏洞、ShareFile 未认证 RCE 链——拼出一个确定性的趋势：攻击面的战争已经转移到边界设备与数据中转节点上，且『组合利用』正在压低单个漏洞的利用门槛。

对企业而言，没有一劳永逸的答案：把暴露面测绘做成日常动作，把高危中间件的补丁从流程里拎出来走加急通道，把配置变更纳入监控。门是业务需要，删不掉；但锁的更新节奏，至少要追上攻击者的选品速度。下一个被写进猎杀名单的产品名字还没公布——唯一能确定的是，名单还在变长，而打补丁的速度，就是你和名单之间的距离。