左移势在必行：重新思考软件供应链中的漏洞管理

独立安全发展的融合

2026 年 10 月底至 11 月初，政府和行业领导者出现了四个独立的网络安全发展。CISA 将两个漏洞添加到其已知被利用漏洞目录中，微软发布了对现实世界利用模式的数据驱动分析，AWS 扩展了 Amazon Inspector 以扫描 Amazon 机器映像，谷歌详细介绍了 XCPE 僵尸网络的取缔。虽然每个事件都是独立的，但它们共同标志着组织处理漏洞管理方式的更广泛转变。

这些发展并非孤立事件，而是反映了一个共同主题：需要在软件生命周期的更早阶段识别和缓解漏洞。CISA 的目录更新强调了解决被积极利用的缺陷的紧迫性，而微软的研究为优先级排序提供了统计基础。AWS 的新扫描功能将安全检查移至部署前阶段，谷歌的僵尸网络中断突显了未打补丁设备的大规模后果。

这些努力的融合表明，网络安全生态系统正在成熟，正在从被动打补丁转向主动风险降低。通过逐一审视每个发展，我们可以为防御者和决策者提取更广泛的启示。

CISA 的 KEV 目录：优先级排序的强制要求

CISA 将 CVE-2026-48356（Adobe Commerce/Magento）和 CVE-2026-111497（Google Brotli）添加到已知被利用漏洞目录中，这是一个明确的信号，表明这些缺陷正在被积极利用。KEV 目录实际上是联邦机构以及许多私营部门组织的优先级列表。

这些漏洞的收录不仅仅是信息性的；它通过约束性操作指令 26-04 具有监管效力，该指令要求基于风险及时修复。该指令强调根据实际利用情况而非理论严重性评分来优先安排安全更新。

对于组织而言，KEV 目录提供了一个聚焦的视角：与其试图修补所有内容，不如将资源集中在最有可能被武器化的漏洞上。这种方法与更广泛的基于风险的漏洞管理转变相一致，在这种转变中，背景和可利用性与 CVSS 评分同样重要。

微软关于利用的数据驱动洞察

微软对现实世界攻击的分析表明，利用高度集中在少数 CVE 上。这一发现挑战了将所有漏洞一视同仁的常见做法，并支持基于利用可能性、暴露程度和潜在影响范围的更细致的优先级排序模型。

研究强调，许多漏洞在实践中从未被利用，而少数漏洞则被反复且迅速地利用。防御者可以利用这一洞察来关注最有可能造成实际损害的漏洞，而不是被大量的公告所淹没。

微软的数据驱动方法通过为优先级排序提供统计基础，补充了 CISA 的 KEV 目录。两者共同表明，有效的漏洞管理不仅需要打补丁，还需要基于攻击者行为的经验证据进行智能分类。

AWS Inspector：在部署前扫描 AMI

AWS 将 Amazon Inspector 扩展到扫描 Amazon 机器映像（AMI），代表着向左移安全迈出的重要一步。通过允许在不启动实例的情况下对 AMI 进行漏洞扫描，AWS 使组织能够在源头识别和修复问题，防止它们在机群中传播。

此功能支持对 AMI 目录进行持续评估和有针对性的单次扫描，并将发现结果集成到 AWS Security Hub 中。跨整个组织扫描 AMI 的能力简化了治理，并降低了部署易受攻击映像的风险。

从战略角度来看，AWS 的举措反映了人们日益认识到安全必须更早地嵌入到开发和部署流程中。通过在 AMI 中捕获漏洞，组织可以防止它们成为运行时暴露，从而减少攻击面和运营负担。

XCPE 僵尸网络：供应链妥协的警示故事

谷歌对 XCPE 僵尸网络的取缔（该僵尸网络感染了超过 130 万台机顶盒）说明了供应链漏洞的严重后果。据称，该后门是由一家 Android OEM/ODM 出于经济利益开发的，凸显了受信任的硬件和软件供应商带来的风险。

该僵尸网络被用于广告欺诈和住宅代理服务，展示了受感染设备如何以各种方式变现。这一事件强调了保护整个供应链的重要性，从组件制造商到最终用户设备。

XCPE 案例还引发了关于技术供应链中问责制和透明度的质疑。随着组织越来越依赖第三方组件和服务，他们必须评估供应商的安全态势，并要求更大程度地保证不会有意或无意地引入后门和漏洞。

迈向主动、基于风险的安全态势

这些发展的共同主线是从被动漏洞管理向主动漏洞管理的转变。CISA 的 KEV 目录和微软的研究提供了有效优先级排序所需的情报，而 AWS 的 AMI 扫描和谷歌的僵尸网络取缔展示了早期检测和供应链警惕的实际应用。

组织应考虑采用左移方法，将安全集成到软件生命周期的每个阶段，从代码开发到部署和运营。这包括利用威胁情报、自动化漏洞扫描以及在整个供应链中执行安全策略。

最终目标是缩小暴露窗口并最小化潜在漏洞利用的影响。通过从这些独立但相关的发展中学习，防御者可以构建更具弹性的安全态势，以预测威胁而不仅仅是做出反应。