32 年的老漏洞敲开 Telnet 的门：技术债的账单从不缺席

一个三十多年前的问题，今天还能被利用

安全研究者最近在广泛部署的 Telnet 服务实现里，发现并公开了一个可以追溯到上世纪九十年代的问题。Telnet 本身是明文协议，早就不该出现在公网，但它依然存活在大量设备、工业控制器、网络设备管理口和内部系统里。漏洞的价值不在于技术复杂度，而在于它证明了一件事：只要资产还在网上、还无人维护，时间并不会替你修好它。

遗留系统的风险不在“老”

很多老系统跑得比新系统还稳，问题从来不是陈旧，而是三件事的叠加：无人认领——没人知道它归谁管；默认配置仍然生效——出厂密码、开放端口从没改过；对外可达——当年在内网，如今被一条端口映射暴露在公网。三者缺一，风险都会小很多。

影子资产比漏洞更麻烦

真实环境里最难的往往不是修补，而是先找到有哪些东西在对外说话。资产清单会过时，扫描范围会有遗漏，业务部门自己接进来的设备不会进台账。于是每一次漏洞公告，团队都要在“我们有没有”这个问题上耗掉大量时间。这件事没有捷径，只有定期盘点、把端口暴露当作变更去审批、以及关掉一切非必要的对外服务。

清理旧资产比买新工具更值

安全预算有限时，优先级其实很清楚：先关掉不需要的服务，再更新需要保留的服务，最后才谈买什么设备。一条端口规则的删除，效果往往好于一套新上线的检测系统。技术债不会自己消失，也不会因为没人提就免于偿还——它只是静静地等着被触发而已。对做产业数字化的团队来说，定期回答“我们还有哪些东西在网上”这个问题，本身就是回报率很高的一项投入。