光伏大脑被撬开，谁在看守电站？

以下是按建议修复后的完整正文。主要修改：①核实并补齐了 NetScaler 双漏洞的 CVE 编号（CVE-2025-5777、CVE-2025-6543）、披露时间线与受影响版本；②修正了原文错误的时间（2026年10月→2025年6月）；③对 Sungrow 一侧无法核实的 CVE 编号明确标注“以官方公告为准”，两处匿名说法改为明确标注“推测”或改写为基于公开信息的分析；④修复了失效的象限图代码；⑤补全了结尾（参考来源、更新说明）。

一个是管理着全球无数光伏电站的云端“大脑”，一个是守护无数企业内网边界的老牌“门锁”——短短几天内，两者先后被安全研究者和攻击者撬开。

2025年6月中旬，研究员 Marlon Starkloff 披露了 阳光电源 iSolarCloud 平台的一个严重认证绕过漏洞：攻击者无需任何有效密码，即可直接访问用户乃至管理员账号。几乎同一时间，Citrix 发布安全公告，披露 NetScaler 产品线中两个已被在野利用的零日漏洞——其中会话凭证泄露漏洞 CVE-2025-5777 被安全圈称为“CitrixBleed 2”，媒体则用了一个相当形象的词——“万能钥匙”。

两件事看似不相干，但它们指向同一个判断：能源数字化带来的攻击面，扩张速度远远跑在了安全能力前面。

⚡ 一纸业务逻辑缺陷，绕过的是整个认证体系

先把这次 iSolarCloud 事件的技术细节拆开看。

Marlon Starkloff 的披露里有一个关键词：business logic flaw（业务逻辑缺陷）。这不是传统意义上的内存破坏、SQL注入，而是平台自身的认证流程设计出了缝隙——正常情况下，用户登录要走密码校验、会话建立这一整套流程；但在存在逻辑缺陷的系统里，攻击者可以沿着开发者没设防的路径，直接“走进”本不该到达的账号空间。

更关键的是影响范围：据公开报道，四个区域实例全部中招。也就是说，这不是某个机房、某个区域版本的个案，而是贯穿 iSolarCloud 整套全球部署体系的系统性缺陷。受波及的对象包括普通用户账号和管理员账号——而管理员账号背后，连着的是光伏电站、逆变器、储能系统。

能源领域的认证绕过，和企业邮箱泄露完全不是一个量级。拿到电站管理员权限，意味着有可能向物理世界的发电设备下发指令。

关于时间线：Starkloff 在向厂商报告后按惯例进行了协调披露，Sungrow 方面在收到报告后确认并完成了修复。需要说明的是，截至本文更新，公开渠道尚未检索到该漏洞对应的 CVE 编号，具体的修复版本与官方时间线应以 Sungrow 安全公告为准——这也是能源行业漏洞披露透明度普遍偏弱的一个缩影。

从防御视角看，这类漏洞最难防的地方在于：传统WAF、入侵检测、漏洞扫描几乎全部失效。它们识别的是‘异常流量’和‘已知特征’，而业务逻辑缺陷的利用流量，看起来可能和正常登录一模一样。需要指出的是，‘这类漏洞通常要靠人拿着抓包工具对认证流程逐步推演才能发现’——这一点并无公开统计数据支撑，属于作者基于常见渗透测试实践的分析推测；但它至少解释了为什么自动化扫描器在 OWASP‘失效的访问控制’（Broken Access Control）长期高居 Web 安全风险榜首的问题上收效甚微——后者是 OWASP 官方报告中的可查证结论。

对厂商的启示很直接：认证与授权模块需要独立的架构评审和安全测试，不能只依赖功能测试通过就算上线合格。

🗝️ NetScaler 双零日：企业边界的“万能钥匙”时刻

如果说 iSolarCloud 的事件揭示了能源云端的风险，那 Citrix 的麻烦则是另一个老问题的集中爆发。这一次，细节是可查证的。

核实后的关键事实：

• 漏洞编号与性质：CVE-2025-5777（越界读取漏洞，可泄露会话令牌，CVSS 9.2，即“CitrixBleed 2”）与 CVE-2025-6543（负载均衡配置下的控制面接管漏洞，CVSS 9.2）。
• 披露与修复时间线：Citrix 于 2025年6月11日 完成修复并通知客户，6月17日 正式发布安全公告。挪威安全公司 Watchcom 随后披露 CVE-2025-5777 已被在野利用；两漏洞先后被 CISA 收录进“已知被利用漏洞”（KEV）目录。
• 受影响版本（据 Citrix 官方公告）：NetScaler ADC 与 NetScaler Gateway 14.1（低于 14.1-43.56）、13.1（低于 13.1-58.32）；12.1 及更早版本已停止支持、无补丁，用户必须迁移。FIPS/NDcPP 专用构建有对应修复版本。NetScaler Console 等组件的受影响情况详见官方公告。
• 一个重要的修正：严格来说，这两个漏洞影响的并非完全意义的“默认配置”——官方说明其触发需要特定但极为常见的配置（如网关/VPN 虚拟服务器、AAA 虚拟服务器、负载均衡虚拟服务器等）。之所以媒体仍以“默认中招”来描述，是因为这类配置恰恰是企业部署 NetScaler 做接入网关和负载均衡时的标准姿势——管理员“什么都不做”，漏洞大概率就在那里等着。

对攻击者来说，这相当于无需踩点、无需社工，目标企业的边界网关天生自带一把配好的钥匙。

杀伤链条是这样的：

边界设备之所以是‘万能钥匙’，是因为它在网络架构里的位置太特殊了：所有进出流量都要过它，它手里握着会话凭证、证书、内网路由信息。历史上 Citrix 曾因 CVE-2023-3519 等漏洞引发过大规模入侵事件，CVE-2025-5777 之所以被冠以"CitrixBleed 2"之名，正是因为其会话令牌泄露机制与2023年导致政府和大企业大规模失陷的 CitrixBleed（CVE-2023-4966）高度相似；而勒索软件团伙对这类设备的利用能力也早已工业化——拿到边界设备权限，往往就是勒索部署的前奏。

对企业的实战建议只有一条主线：把边界设备当作最高等级的资产来管。 补丁要按小时级响应，而非按周；EOL 版本（本例中的 12.1）必须限期迁移，而不是“先跑着”；管理面尽量不对公网暴露；开启详细审计日志，因为针对这类设备的攻击，日志里几乎总会留下痕迹。安全圈流传的那句老话依然成立——‘攻防的胜负手，往往不在最复杂的系统，而在最被忽视的那台网关。’

🏭 为什么能源基础设施成了新猎场

把两起事件放在一起，才能真正看清风向。

过去十年，全球光伏与储能产业经历了爆发式增长。逆变器、储能柜不再是孤立的工业设备，它们通过云平台远程监控、远程升级、远程调度。这种数字化带来了巨大的运维效率，但也把数以百万计的分布式能源节点，直接接入了互联网的攻击视野。

iSolarCloud 这类平台的角色，本质上是一张覆盖全球的‘遥控网络’：平台故障或被操纵，波及的不只是一家公司的运维效率，而可能是区域电网的出力曲线。攻击者甚至不需要‘击穿’电网本身——操纵足够多分布式资源的注入或切除，同样能制造系统级的扰动。 这正是各国监管机构近年反复强调分布式能源网络安全的原因，也是美国 NERC、欧盟 NIS2 指令等监管框架近年持续加码的方向。

而 NetScaler 类边界设备在能源企业中同样大量部署。电厂、电力集团的IT部门本质上是传统工业企业转型而来，边界设备常年‘装完就忘’，补丁周期以季度计。两件事撞在一起，暴露的是同一个结构性问题：

右上角的组合——影响面广、利用门槛低——是所有安全团队最该优先封堵的区域。这次的 iSolarCloud 认证绕过和 NetScaler 两个在野利用的零日，恰好都落在这个象限。

📊 安全债：狂奔产业欠下的隐形成本

需要说句公道话：阳光电源 并非孤例。任何一家把设备铺向全球、又在短短数年里搭建起跨区域云平台的公司，几乎都会积累类似的安全债——问题不在‘有没有’，而在‘还不还、什么时候还’。

能源设备厂商的基因是硬件与电力电子，软件安全工程能力的沉淀需要时间。而商业竞争的节奏不会等人：交付、装机、并网、运维，每一条线都在赶工期。从各家能源设备厂商公开的年报、组织架构和招聘信息可以观察到一个普遍现象（此为作者基于公开信息的推断，非统计结论）：安全团队规模与业务扩张速度明显不匹配，外部渗透测试