一周三个高危，边界设备为何总先失守

2023 年 10 月中旬，安全运营中心迎来一场大规模告警风暴：Cisco 披露 IOS XE 设备上被在野利用的未认证提权漏洞，Talos 观测到超过 3.4 万台设备已被植入后门；几个月内，Ivanti、Palo Alto Networks 的 VPN 网关接连失守；2024 年底，BeyondTrust 远程支持产品被确认存在在野利用的零日；而在更早的 2024 年 7 月，Gitea 也在一次版本更新中修复了包括 SSRF 在内的多个安全问题。这不是孤立事件，而是攻击面迁移的必然结果。边界设备，正在取代终端与服务器，成为攻防双方真正的第一战场。

📉 连环中招：边界设备成了重灾区

边界设备的补丁窗口，就是攻击者的加班窗口。

先看最重的一拳。2023 年 10 月 16 日，Cisco 发布安全通告 cisco-sa-iosxe-webui-privesc-j22VzXf4，披露 IOS XE Web 管理界面的未认证提权漏洞 CVE-2023-20198（CVSS 10.0）。攻击者只需向设备 Web UI 的特定 URL 发送一个构造好的 HTTP 请求，就能创建一个 15 级（最高权限）本地账户；随后再利用关联漏洞 CVE-2023-20273 向设备文件系统写入 Web 后门。Cisco Talos 随后的监测显示，截至 2023 年 10 月 16 日，全球已有超过 34,000 台设备被植入后门，第三方扫描平台 Censys 观测到的受影响实例一度逼近 4 万台。

这个案例的杀伤力在于利用链的组合方式：CVE-2023-20198 负责拿到管理权限，CVE-2023-20273 负责持久化——攻击者通过 TFTP 下载植入物，再借设备内置脚本将其拷贝到 nginx 的 Web 根目录下，使后门在重启后依然驻留。一旦设备被控，攻击者可以改路由、镜像流量、解密会话，内网横移几乎是平坦大道。

几乎同样的剧本在之后两年反复上演：

• 2024 年 1 月，Ivanti Connect Secure（ICS）VPN 被曝出 CVE-2023-46805（认证绕过）与 CVE-2024-21887（命令注入）的链式利用，两者组合后无需任何凭证即可实现远程代码执行。Mandiant 报告显示，披露后两周内就有超过 1,700 台设备被在野攻陷。CISA 为此发布了紧急指令 ED 24-01，要求联邦机构在 48 小时内完成受影响设备的盘点与隔离——监管层面的紧急程度本身就是最好的注脚。
• 2024 年 4 月，Palo Alto Networks 确认 PAN-OS 的 CVE-2024-3400（GlobalProtect 命令注入，CVSS 10.0）已被在野利用，攻击者借路径遍历向设备的 HTTP 服务进程注入命令，窃取会话令牌并部署后门。
• 2024 年 12 月，BeyondTrust 披露其 Remote Support 产品存在 CVE-2024-12356（命令注入，CVSS 9.8），并确认在野利用；同批修复的还包括影响 Privileged Remote Access 与 Remote Support 的另一个未认证漏洞。CISA 已将 CVE-2024-12356 列入 KEV（已知被利用漏洞）目录。

把这几起事件放在一张表里看，规律非常清晰：