当漏洞扫描也上了流水线

黑客圈最近流传一句话：'扫描器不睡觉，你的排班表才睡觉。'

2026 年 10 月 8 日，FBI 联合多国网络安全机构发布联合公告，点名一家中国公司 Integrity Technology Group 作为攻击活动的' facilitating 方'，指控其关联行为者正在利用自动化漏洞扫描、大规模僵尸网络和人工深度利用，在全球范围内窃取敏感信息，目标直指关键基础设施、政府机构和医疗系统。

同一个月里，Zammad 的严重漏洞 PoC 公开流出，连荷兰漏洞披露机构 DIVD 自己都在九月的入侵事件中被这枚漏洞打穿；Gitea 则在 9 月 30 日一口气发布 28.0.0 版本，修掉 20 个漏洞，从认证绕过到 SSRF 一网打尽。

三件事看似独立，指向的却是同一个判断：攻击已经工业化，而防御侧大量组织还停留在手工作坊阶段。

🤖 攻击的流水线化：从'高手活'变成'标准件'

这次 FBI 公告最值得注意的，不是点名了谁，而是披露的攻击范式。

公告描述的作业链条是这样的：先用僵尸网络和自动化工具对全网做大规模漏洞扫描，批量筛出可利用的资产，再由人工接手做深度利用，最终目标是窃取敏感数据。这已经不是传统印象里'几个天才黑客熬夜渗透'的画面，而是一条分工明确的流水线——扫描是标准件，利用是定制件，数据窃取是交付物。

这条流水线的可怕之处在于边际成本极低。扫描一次一万台设备和一个十万台设备，成本差异几乎可以忽略；而被打下的每一台设备，都可能成为下一轮扫描的节点。据多位接近国际执法合作的人士透露，这类'自动化铺面 + 人工收口'的组合，近两年在多起针对关键基础设施的事件中反复出现，公告只是把 pattern 摊到了台面上。

对防御方来说，这意味着什么？意味着你面对的不再是一个'会不会盯上我'的问题，而是一个'我什么时候被扫到'的概率问题。只要你暴露在公网上、只要你的组件存在已知漏洞，流水线早晚会经过你门口。

产业逻辑随之改变：安全的赌注从'不被针对'变成了'补丁速度能否跑赢扫描速度'。 这是一场纯粹的运营效率竞赛，而多数组织的补丁周期，是以周甚至月计的。

⚠️ 连漏洞披露机构都被打穿：工具链的信任危机

九月最讽刺的一起事件，主角是 DIVD——荷兰漏洞披露机构，一家本职就是'发现并协调修复漏洞'的组织。

攻击者利用 Zammad 的严重漏洞 CVE-2026-102489 完成了入侵。这个漏洞的危害链条相当完整：可以窃取活跃用户的会话 Cookie，实现会话劫持，并进一步以 Zammad 操作系统用户的身份执行任意代码（RCE）。换句话说，打下一个工单系统，就等于拿到了服务器壳。

更麻烦的是，这枚漏洞的 PoC 已经公开。业界私下对此的评价很直白：'PoC 一出，CVE 就从论文变成了弹药。' 从 PoC 公开到大规模在野利用之间的窗口期，正在被自动化工具压缩到以天计。

这件事的产业含义有两层。

第一层：安全组织本身就是高价值目标。 DIVD 手里握着大量尚未公开的漏洞信息和企业联络渠道，打穿它等于一鱼多吃。攻击者挑选目标时早已不按'知名度'排序，而是按'数据杠杆率'排序——谁能撬动更多下游受害者，谁就是靶心。

第二层：自托管软件的信任边界正在崩塌。 Zammad 是被大量组织自托管的开源工单系统，Gitea 是被无数团队自托管的代码托管平台。这些系统长期活在'内网/小范围使用'的错觉里，权限模型和补丁节奏都按低威胁环境设计。而当自动化扫描无差别扫过全网，这个错觉就成了最大的漏洞。

🔧 Gitea 的 20 个补丁：一个版本号背后的攻击面清单

9 月 30 日，Gitea 发布 28.0.0，一次性修复 20 个漏洞，覆盖认证绕过、未授权 workflow 执行、SSRF、存储型 XSS 和拒绝服务。这个版本还有一个细节耐人寻味：它去掉了历史上沿用的'1.' 版本前缀，直接跳到 28.0.0。

把 20 个漏洞按类型拆开看，你会看到一份典型的'自托管开发基础设施攻击面清单'：

对攻击者而言，一个自托管 Gitea 的价值远超表面：它是代码仓库，是 CI/CD 的调度中枢，很多时候还连着部署凭证和云 API 密钥。拿下它，等于同时拿下知识产权、供应链注入点、云横向移动跳板三样东西。这也是为什么认证绕过和 workflow 执行类漏洞的修复优先级必须拉满。

维护者已经明确敦促管理员尽快升级。但现实是，大量自托管实例的运维者既没有订阅安全通告，也没有把这类系统纳入统一的漏洞管理——它们往往由某个研发团队'顺手'部署，之后便无人认领。

🧭 防御的答案：用自动化对抗自动化

把三件事放在一起，结论已经不难推导：攻击侧完成了工业化，防御侧如果还是'人工看告警、手动打补丁、季度做演练'，攻防成本结构的差距只会越拉越大。

具体到落地，至少有三件事可以做，而且优先级很清晰：

有做过应急响应的同行私下总结得很到位：'现在的入侵不是开始于一次精心策划，而是开始于一次顺手扫描。你唯一的护城河，是让扫描结果里没有你的名字。'

这意味着安全运营的 KPI 要变——从'没有发生事件'变成'暴露面收敛速度'和'高危漏洞修复时效'。前者是结果指标，事后才知道输赢；后者是过程指标，每天都在积累优势或欠债。

同时，产业侧也有一个明确的信号：面向自托管软件的漏洞情报订阅、资产测绘和自动化补丁编排，正在从' nice to have '变成刚需。攻击流水线的存在，本身就是防御产品市场最好的需求说明书。

写在最后

三周之内，一份 FBI 联合公告、一个被公开的 PoC、一次 20 连补丁，勾勒出的是同一张攻防成本表：攻击侧的边际成本趋近于零，防御侧的时间窗被压缩到极限。

接下来的分化会很残酷——补丁跑赢扫描的组织，会逐渐从攻击者的'低成本目标池'里消失；补不上的，则继续留在池子里等着被流水线经过。安全从来不是玄学，它首先是一道运营效率题。而工业化时代的效率题，只能用工业化的方式作答。