微软0-day漏洞研究者放话：不修就继续爆，Windows安全危机升级

一位安全研究者与微软之间的矛盾正在升级。这位研究者公开威胁称，如果微软继续拖延修复已报告的零日漏洞，他将直接公开更多的Windows漏洞利用代码。

事件经过

据The Register报道，这位研究者此前已经向微软报告了多个零日漏洞，但对微软的修复速度非常不满。他认为微软在处理安全漏洞方面存在严重的效率问题，用户的系统安全被不当回事。

在多次催促无果后，这位研究者选择了激进的做法：直接公开漏洞利用代码（exploit）。这意味着任何人都可以利用这些漏洞来攻击Windows系统。

为什么这件事很重要

零日漏洞是指软件厂商尚未知晓或尚未修复的安全漏洞。一旦被公开，所有使用该软件的系统都面临被攻击的风险。

这次事件的特殊之处在于：

主动公开威胁：研究者不是被动地在漏洞被发现后才公开，而是主动威胁要公开更多漏洞。这在安全行业中是比较罕见的做法。

矛头指向微软：微软是全球最大的操作系统厂商，Windows系统运行在全球数十亿台设备上。任何零日漏洞都可能造成巨大的安全影响。

修复流程争议：微软近年来多次被批评漏洞修复速度慢、质量差。这次事件再次将这个问题推到了聚光灯下。

对站长的影响

如果你的服务器或工作站运行Windows系统，需要特别注意：

第一，及时更新Windows系统和所有安全补丁。不要等到漏洞被公开才行动。

第二，考虑使用额外的安全防护措施，比如终端检测与响应（EDR）工具。

第三，关注安全社区的动态，特别是The Register、BleepingComputer等安全媒体的报道。

第四，对于关键服务器，建议评估是否需要暂时隔离或限制网络访问。

微软的回应

截至目前，微软尚未对此事做出正式回应。不过，微软近年来确实在安全方面投入了大量资源，包括2024年推出的”Secure Future Initiative”计划。但显然，对于一些研究者来说，这些努力还远远不够。

安全行业的”负责任披露”之争

这件事也反映了安全行业中的一个长期争议：研究者在发现漏洞后，应该等待多久才能公开？传统的”负责任披露”原则建议给厂商90天的修复时间。但当厂商不作为时，研究者是否有权利提前公开？

这个问题没有标准答案。一方面，提前公开会让用户面临风险；另一方面，公开压力也是推动厂商修复漏洞的有效手段。站长们需要做的是做好自己的安全防护，不要把所有希望寄托在厂商身上。

本文参考来源：Are we human? | The Register