网络设备漏洞修复耗时超一年，攻击利用速度却越来越快

对近38.3万个CVE漏洞的分析发现，攻击者正集中攻击一小部分高危漏洞，而这些他们最青睐的系统恰恰是修复最慢的。

微软自身的遥测数据显示，企业网络设备上漏洞的中位修复时间超过一年，而与此同时，最具破坏性的软件漏洞在披露后数天内就被武器化利用。

微软安全研究团队周一公布了这一发现，该分析覆盖了从1999年到2026年9月披露的约38.3万个CVE漏洞。数据显示，网络设备漏洞的中位修复时间超过一年，Windows服务器超过一个月，运行在macOS上的Linux服务器和应用程序超过10周，而Windows工作站约为两周。

微软安全研究员亚伊尔·查尔法蒂和奥尔·贝甘在详述这些发现的博客文章中写道：”这一差距就是威胁行为者的作案窗口期，而在那些暴露时间最长的关键系统上，这个窗口期也最大。”他们指的是漏洞被利用的速度与关键系统修复速度之间的差距。

修复周期以周和月计算

微软的修复数据来自其安全暴露管理产品2026年的数据。根据这篇博文，Windows工作站上漏洞的中位修复时间约为两周，但在Windows服务器上则超过一个月。这一延迟在Linux服务器和运行在macOS上的应用程序中拉长至超过10周，在网络设备上则超过一年。

网络安全研究员兼红队专家维布姆·杜贝表示，这些发现与他在企业环境中观察到的情况相符。在这些环境中，变更审批、应用依赖关系、维护窗口期以及遗留基础设施都在常态性地拖延修复工作。

“网络设备尤其棘手，因为固件升级可能影响关键业务运营，”杜贝说。”在许多情况下，挑战并不在于识别漏洞，而在于让正确的团队在不中断业务服务的前提下完成修复。”

漏洞利用以天计算

微软在博文中写道，漏洞利用的速度要快得多。研究人员引用美国网络安全和基础设施安全局（CISA）的数据称，从CVE发布到被列入CISA已知被利用漏洞目录的平均时间，已从2024年的89天降至2025年的57天。而在2026年截至9月的数据中，这一平均时间已降至20天，中位数仅为3天。

博文写道：”漏洞利用遵循的是完全相反的时间表：最具影响力的漏洞会在数天内被武器化，而且越来越多是在披露当天或之前就已发生。”

研究人员还引用了VulnCheck发布的《2026年漏洞利用状况报告》，该报告发现2025年29%的漏洞利用行动是在CVE发布后一天内发起的。微软在博文中写道，行业研究表明，人工智能的进步是缩短漏洞利用开发所需时间的重要因素。

杜贝表示，在某些情况下，防御方可利用的时间是以小时计算而非以周计算。漏洞可能在公开披露之前，或在企业完成初步评估之前就已被利用。

他说，企业需要摆脱完全依赖月度扫描和计划性修复周期的做法。取而代之的，他表示，企业需要持续监控、应急修复流程、通过WAF和IPS控制实现虚拟补丁，以及明确的修复责任归属。

杜贝说：”重点应该是缩短暴露窗口期，因为当一个漏洞进入常规修复队列时，攻击者可能已经在利用它了。”

漏洞利用的落点

该分析发现，攻击者实际使用的漏洞与CVE总体分布情况大相径庭。服务器端远程代码执行（RCE）漏洞占所有已公布CVE的20%，但在实际被利用的漏洞中占比达37%。本地权限提升漏洞的占比从11%升至18%，客户端RCE漏洞的占比从4%升至13%。

研究人员指出，跨站脚本攻击漏洞在已公布CVE中占15%，但在被利用的漏洞中仅占4%；拒绝服务漏洞的占比则从16%降至7%。操作系统漏洞在总体中占23%，但在被利用的CVE中占比高达41%。

研究人员写道：”这些模式与威胁行为者偏好能够提供有实质意义的访问权限和控制权的漏洞这一现象相一致。”

博文指出，RCE漏洞、身份验证绕过和本地权限提升三者合计占实际被利用漏洞的78%。在微软的数据中，Windows是受影响漏洞数量最多的平台。

按暴露程度确定优先级

据微软介绍，一个漏洞对攻击者的价值取决于其影响力和暴露程度。影响力是指成功利用漏洞后能获得什么；暴露程度则是指从被攻陷资产可触及的身份、权限和网络连接。

博文指出，服务器上经常运行着服务账户、应用程序身份或云管理身份，这些身份往往拥有超出实际所需的权限。攻陷其中任何一个，都可能打开通向敏感数据、管理权限和可信网络的路径。

杜贝表示：”仅凭CVSS评分已经不够了。”他说，企业应基于实际被利用情况、互联网暴露程度、资产关键性以及潜在攻击路径来确定漏洞修复的优先级。他说：”一个存在已知漏洞利用方式的面向互联网的中等严重性漏洞，其风险可能比一个处于隔离状态资产上的严重漏洞更高。”

本文最初发表于CSO网站。