推文

@chenYijl · 2026-10-17 04:07

一个漏洞的正式编号，迟到了 33 天。 这 33 天里，黑客可一点没闲着。 10 月 14 日，Nextcloud 的 Collabora 内置文档服务器漏洞终于拿到编号：CVE-2026-110447。 中招的是 richdocumentscode 应用（26.4.303 之前的版本）：proxy.php 里有个命令注入，未认证的请求就能在服务器上执行命令，GitHub 给的评级是 Critical。 9 月 10 日，攻击就开始了。黑客往 Nextcloud 服务器里种 PHP webshell，顺手还翻凭证库和加密货币钱包。 而修复补丁，9 月 11 日就发了：26.4.303。 整整 33 天，编号才姗姗来迟。这段时间里，攻击代码在网上公开流传。 Second Security 的研究给了背景：修复公开后，几小时内就会冒出公开 exploit；而漏洞从修复到拿到 CVE 编号的中位时间，1 月是 5.1 天，8 月变成了 39 天。 研究人员的解释很直接：AI 辅助挖洞的报告量，把编号这条流水线压垮了。 最扎眼的转折来自 Collabora 昨天的博客。 他们公开承认延误，并把主要原因指向 GitHub：CVE 处理从"一天搞定"拖成了"几周排队"。 于是 Collabora 决定自己申请成为 CNA（CVE 编号机构）🪪：以后编号自己发，不排 GitHub 的队了。 看懂这个闭环了吗？ AI 把挖洞变成了流水线，报告多到发证窗口都挤爆了。 全球最大的开源平台，连给漏洞发编号都供不上了。 厂商只好自己去当发证机关。 漏洞越挖越多，先累倒的是发编号的人。 这大概是今年安全圈，最诚实的一张成绩单。

曝光 9 · 评论 1 · 点赞 0 · 书签 0