4月16日，據(jù)外媒報(bào)道，本周，一名神秘的“影子代理人”發(fā)布了多個(gè)Windows黑客工具，這些工具據(jù)稱來自美國國家安全局(NSA)。所有這些工具都已有幾年歷史，但仍然可以利用多個(gè)版本W(wǎng)indows的漏洞在網(wǎng)絡(luò)中傳播并感染操作系統(tǒng)。微軟周六在官方博客中做出了回應(yīng)，稱該公司正在評(píng)估所有這些漏洞。微軟的回應(yīng)很簡單：大部分這些漏洞都已被修復(fù)。

微軟宣布已修復(fù)來自NSA的漏洞

　　在提供給路透社的聲明中，微軟表示：“除記者之外，沒有任何個(gè)人和組織就‘影子代理人’發(fā)布的材料聯(lián)系我們。”不過，這可能并不完全屬實(shí)。微軟表示，其中3個(gè)漏洞并未影響仍處于技術(shù)支持期內(nèi)的平臺(tái)(即所有能獲得微軟安全更新的操作系統(tǒng)版本)。對(duì)于另外7個(gè)漏洞，微軟表示，已通過升級(jí)和補(bǔ)丁進(jìn)行了修復(fù)。

　　其中4個(gè)漏洞尤為值得關(guān)注，分別為EternalBlue、EternalChampion、EternalRomance和EternalSynergy。這些漏洞于上個(gè)月，即3月14日得到了修復(fù)。由于“影子代理人”列出的是1月份時(shí)掌握的工具，因此似乎NSA早已知道微軟將發(fā)布針對(duì)性的安全更新。在2017年3月的升級(jí)中，微軟修復(fù)了大量安全問題，但微軟并未提到已經(jīng)修復(fù)這些問題。關(guān)于這樣做的原因，微軟發(fā)言人表示：“我們可能不會(huì)列出確認(rèn)的原因，這些原因包括員工報(bào)告、無原因請(qǐng)求，或者漏洞發(fā)現(xiàn)者沒有遵循漏洞的合作披露原則?！?/p>

　　因此，目前并不清楚具體情況是什么樣。梳理出的時(shí)間表如下：1月份問題被曝光，2月份微軟跳過了常規(guī)的“周二補(bǔ)丁”升級(jí)，3月份微軟同時(shí)修復(fù)了多個(gè)漏洞，而此前幾年沒有人知道這些漏洞的存在。很明顯，微軟知道了這些漏洞。信息安全研究員穆斯塔法·阿爾-巴薩姆(Mustafa Al-Bassam)提出了自己的解釋，即微軟花錢買到了這些漏洞的信息。不過，Zerodium CEO喬基·貝克拉(Chaouki Bekrar)則認(rèn)為，“影子代理人”向微軟提供了信息。

　　這起事件帶來的教訓(xùn)仍然是：確保使用當(dāng)前仍處于技術(shù)支持中的操作系統(tǒng)，并盡快安裝可用補(bǔ)丁。微軟一名項(xiàng)目經(jīng)理則建議，為了預(yù)防這些漏洞帶來影響，用戶需要?jiǎng)h除或禁用受影響的服務(wù)。