一天四起漏洞之后：防御方已经撑不住了
来源：netmeister.org — 2026-10-27
📋 概述
作者用一周里的四个真实事件说明：漏洞披露的速度已经超过防御方的吸收能力。PwnEscape 从 KVM 逃逸扩到容器、eMudhra 证书事故波及一切用 TLS 的东西、php2shell 的禁运被打破、brotli 的 RCE 藏在 Node 的安全公告第三条里却远超 Node 本身。他反复强调同一个结论：真正的瓶颈从来不是补丁本身，而是搞清楚自己的攻击面在哪、哪些系统受影响、哪些缓解措施真的到位。他还点名批评 AI 公司既制造疾病又兜售治疗。
🔑 核心要点
- 核心论点：「补丁开发不是瓶颈」，评估可行性、盘清攻击面、把修复部署出去才是
- eMudhra 事件暴露了 SBOM 的盲点：你列不出那些内置或硬编码的 CA 信任库到底散落在哪里
- brotli 漏洞出现在 Node 公告里，实际却要求你去找散布在整条技术栈上的各种 brotli 变体
- 禁运机制已经失效，被打破的禁运让内部圈子白等，还要在厂商营销驱动的大量 AI 注水博客里辨别真伪
- 他对 AI 公司的判断很尖锐：先比拼谁犯的罪更多，再卖你以 DoS 开源社区为形式的保护
- 作者不认为生成式 AI 能救场：花钱让模型自己写利用，并不能改变你手上的防御任务
💡 金句
Companies are not staffed for this, and no matter what the industry wants to tell you, you can't AI your way out of this.
👍 0
👎 0
← 返回 Lobsters 首页