“主钥匙”漏洞：CVE-2025-37164 如何破坏企业安全 #网络安全 #漏洞

2025 年底，資安圈出現了一個令人不安的消息：HPE OneView 被發現存在 CVSS 評分 10.0 的嚴重漏洞，這是安全評分體系中的滿分，代表最高等級威脅。HPE OneView 的角色決定了這次事件的嚴重性——它是全球無數資料中心的統一管理平台，負責控制伺服器、儲存設備與網路基礎架構，相當於整個資料中心的「萬能遙控器」。所有版本低於 11.00 的部署都在風險之列，一旦被攻破，攻擊者即可完全掌控目標環境的機密性、完整性與可用性。

從技術面來看，這個漏洞的可怕之處在於其驚人的簡單性。問題出在一個名為 `/rest/idp/orchestra/execute-command` 的 REST API 端點上，這個入口完全沒有身份驗證機制。攻擊流程只需三步：攻擊者發送惡意指令，系統不做任何身份核查，直接將指令傳遞給 Runtime ECQ 函數執行。這是教科書等級的程式碼注入漏洞，卻出現在一個本應是「銅牆鐵壁」的資料中心核心系統上，最高的管理權限配上幾乎為零的攻擊門檻，構成了最危險的組合。

這次事件的另一個警示是武器化速度之快。2025 年 12 月 16 日，一位越南安全研究員負責任地將漏洞回報給 HPE；HPE 在隔天即發布緊急熱修復補丁，反應算是迅速。然而，僅僅兩天後的 12 月 19 日，完整的漏洞利用程式碼便出現在 GitHub 上，任何人皆可取用。到了 2026 年 1 月 7 日，美國 CISA 正式確認該漏洞已被用於真實攻擊環境中。從補丁發布到全球駭客都能取得武器，不到 72 小時——這條時間線徹底打破了「發布補丁後有充裕時間修補」的傳統假設。安全公司 Rapid7 也直接建議防禦者必須切換到「假設已失陷」的應對心態，不再思考如何阻止入侵，而是著重如何將損失降至最低。

更令人憂慮的是，當前威脅已全面自動化並與 AI 技術結合。GoBrewForcer 等殭屍網路正在 24 小時不間斷地掃描全球網路，尋找未修補的 HPE OneView 系統。與此同時，FraudGPT 等 AI 工具能自動生成攻擊腳本，而「Vibe Hacking」這個新興手法更讓技術能力有限的攻擊者只需借助 AI 的直覺引導，便能找到系統弱點，網路犯罪的入門門檻正被拉到歷史低點。面對這樣的威脅環境，防禦措施需要有對應的緊迫感：立即升級至 HPE OneView 11.00（熱修復補丁僅是暫時性方案）、以失陷假設重新審核所有存取路徑並收回多餘權限、以及透過網路微分段限制攻擊者一旦入侵後的橫向移動能力。美國政府已將 2026 年 1 月 28 日設為旗下機構的強制修補截止日，這個標準也應成為所有企業的行動基準。