当黑客开始逛光伏电站

10月的三条漏洞情报，放在同一张桌子上看才有意思：阳光电源的iSolarCloud平台被曝认证绕过，攻击者可以免密登录电站管理员账号；思科的Catalyst SD-WAN Manager零日漏洞正在被活跃利用；苹果确认CVE-2026-86950已被武器化用于定向攻击。三条线索指向同一个判断——攻击面正在搬家：从传统IT，搬向电站、广域网边界和终端，而搬家的突破口，几乎都指向同一处——认证与授权。

☀️ 一扇没锁好的云门

云计算把电站控制权搬上云端，也顺手把钥匙挂在了门外的钉子上。

先看一个场景。想象一个光伏电站运维工程师的清晨：他打开 iSolarCloud，查看昨天的发电曲线、储能电量、逆变器告警。这套流程他做了三年，从没想过，另一个人可以不输任何密码，直接走进他的管理员账号。

这不是假设。10月7日，安全研究员 Marlon Starkloff 公开披露了 iSolarCloud 的认证绕过漏洞。根据披露信息，这是一个业务逻辑缺陷，影响全部四个区域实例：攻击者无需任何有效口令，即可访问普通用户和管理员账号。而挂在这套平台后面的，是接入的光伏电站、逆变器与储能系统——理论上，未授权者可以对这些设备进行不受控操作。

🔑 产业逻辑在这里才真正展开。过去十年，新能源行业完成了一次大规模上云：设备遥测、功率调度、告警运维，全部集中到厂商统一的云平台上。这带来了效率，也带来一个被普遍低估的结构性变化——云端账号的认证强度，直接等于物理世界开关的强度。

而业务逻辑漏洞是最难防的一类。它不是内存溢出，也不是注入，代码按设计在运行，只是设计本身错了。WAF 拦不住，特征库扫不出，很多公司的安全开发流程里根本没有多租户授权这个检查项。业内私下有句话流传很广：逆变器厂商做的是电力，不是多租户 SaaS。这话刻薄，但说中了要害——写电力控制逻辑的团队，和写过千万级用户认证系统的团队，中间隔着好几起事故的距离。

阳光电源的问题不是孤例。它是整个新能源云平台赛道的第一声哨。

🌐 边界设备，攻击者的高速入口

SD-WAN 替你把网络连起来，自己却成了全网最没人盯着的那扇门。

第二条情报来自 思科。Catalyst SD-WAN Manager 中存在一个零日漏洞，允许未经身份验证的远程攻击者以管理员权限访问系统——更关键的是，该漏洞正处于活跃在野利用状态。

把这两个条件放在一起，就明白为什么应急团队会睡不着。做应急的人之间流传一个共识：边界设备的日志，永远是最后才被看的那个。SD-WAN 控制器通常部署在网络边缘，负责把分支机构、云资源、数据中心缝合起来。它是新边界，但大多数企业的安全建设还停留在旧边界：EDR 装在了员工电脑上，检测铺在了内网，唯独这台直连互联网、握有全网管理权限的设备，往往一个安全 agent 都没装。

这就是所谓的边界悖论：设备替你组网，自己却在你的防御体系之外。攻击者拿到 SD-WAN Manager 的管理员权限意味着什么？不需要钓任何一条鱼、打任何一个终端，直接获得整张企业网络的控制平面——流量可以改道，策略可以重写，隧道可以新建。

⏱️ 在野利用四个字，还压缩了防守方的决策时间。按照惯例，厂商会给出修复版本和缓解措施，但边界设备的补丁窗口向来以季度为单位——变更审批、维护窗口、业务中断风险，层层加码。而攻击者的窗口以天甚至小时计。这个时间差，就是过去几年大量边界设备批量沦陷的根因。

🍎 零日不吵不闹，只挑目标

最贵的漏洞从不制造新闻，它们只在极少数设备上安静地存在。

第三条情报画风完全不同。苹果确认，攻击者正在利用 CVE-2026-86950 发起定向攻击。这是一个越界写入漏洞，苹果在通告中用了一个不常见的措辞：利用方式极其复杂精密。

注意两个关键词：越界写入，定向攻击。

越界写入是内存破坏类漏洞的经典形态，利用链条通常需要精细的堆布局和绕过缓解措施的手法，开发成本高。苹果用极其复杂精密来形容，通常意味着这不是脚本小子能复制的武器，背后站着的是有研发预算、有明确目标的专业团队。

定向攻击的经济学和大众攻击完全不同。勒索软件需要广撒网，漏洞必须便宜、好用、覆盖面大；定向攻击只服务少数高价值目标——一个漏洞哪怕只在千分之一的目标机器上可用，只要那台机器值钱，这门生意就成立。对普通用户来说，这类漏洞的实际风险有限；对特定机构和特定人员来说，它是致命的。

这也是终端安全正在发生的变化：终端不再是防病毒，而是防定向。检测的对手从自动化恶意样本，换成了人类攻击者的手工操作——告警更少、痕迹更浅、驻留更久。

🧩 三块拼图：攻击面正在重组

三个漏洞，三种资产，一条共同的根因——授权假设已经过时了。

把三条情报拼在一起，能看到一张更大的图。载体不同：云平台、边界设备、终端。但攻击起点高度一致：绕过你是谁、你能做什么这道检查。iSolarCloud 是逻辑层的认证失效，SD-WAN 是网络层的未授权访问，Apple 漏洞是执行层的代码劫持——层层向下，最终都服务于同一个目的：拿到不该拿的控制权。

用一张图看三条攻击路径：

再从攻防价值的角度给三类漏洞定位，横轴是利用门槛，纵轴是破坏半径：

三案对照：

这背后是一个正在发生的产业判断：边界在溶解，身份在硬化。云、边缘、终端的物理边界越来越模糊，内网不再意味着可信。防御的重心必须从护住边界转向管住身份和授权——而目前大多数企业的身份治理，覆盖不到设备云平台，覆盖不到网络管理面，更覆盖不到业务逻辑层。

🛠 防守方该做的三件事

漏洞不可预测，但爆炸半径可以设计。

场景换成防守视角。假设你是一家同时运营光伏电站、分支机构网络和大量终端的企业安全负责人，这三条情报等于三份压力测试。恐慌没有意义，值得做的是三件事。

第一，把边界资产和云平台账号盘点清楚。SD-WAN 漏洞的在野利用，最先沦陷的一定是不知道自己有这台设备的企业。同理，问问自己：公司有几个 iSolarCloud 账号？有没有沿用厂商默认策略？

第二，把授权测试提级。业务逻辑漏洞靠扫描器是扫不出来的，需要在渗透测试和红队演练中固定加入横向越权、多租户隔离、免密登录这些科目——它们不是高级技巧，却屡屡是最大的一扇门。

第三，压缩爆炸半径。假设漏洞一定会被打，那么关键问题变成：一个管理员账号被拿走后，攻击者能走多远？最小权限、分段管理、管理面多因素认证、边界设备日志独立外送——这些不性感的老办法，恰恰是决定一个漏洞和一起事故之间距离的东西。

小结

三条情报，一个信号。当黑客开始逛光伏电站，当 SD-WAN 控制器成为在野利用的首选入口，当 苹果 都用极其复杂精密来形容攻击手法——说明攻击面重组已经完成，防守方的认知必须跟上：云平台的一次认证缺陷，可以直通物理世界的开关；边界设备的一个零日，可以绕过你所有的终端防御。2027 年值得盯住两件事：能源云平台的安全标准是否会走向强制化，以及厂商对边界设备零日的响应周期能否从季度压缩到周。门锁没变，贼已经换了行当——该换锁了。