2026 年十大攻击面风险

数世咨询

2026年7月3日 16:00
河北

在小说阅读器读本章

去阅读

本文关键看点：

60%的机构至少有一个HTTP管理面板暴露在公网——包括管理控制台、内部工具的登录页面等根本没有公网访问必要的管理界面。
漏洞利用时间已压缩至一天，问题不在于你能多快打补丁，而在于这项服务最初为何会被暴露。
数据库管理面板占据榜首两位：MySQL占26%、Postgres占16%，互联网暴露数据库长期是机会型攻击的目标。

*▍*以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

安全漏洞并非总是由零日漏洞引发。暴露的管理面板可能遭受暴力破解，或者攻击者会重复使用之前攻击中的凭据。但一旦出现漏洞——例如今年早些时候的MongoBleed漏洞，该漏洞允许攻击者在未经身份验证的情况下从服务器内存中提取凭据和会话令牌——任何面向互联网的内容都会立即面临风险。

利用时间现已压缩至一天，问题不仅仅在于你能多快打补丁，而在于为什么这项服务最初会被暴露出来。

Intruder团队分析了3000个攻击面，以了解典型组织的攻击面中有多少是本不应该存在的服务。研究人员将发现的问题归纳为四类：HTTP面板、风险端口和服务、数据库，以及可公开访问的文件和信息。

问题有多普遍？

60%的机构至少有一个HTTP面板暴露——包括管理控制台、内部工具的登录页面等根本没有公网访问必要的管理界面。
近一半（49%）存在风险端口或服务暴露。
42%的数据库可从互联网直接访问。
30%存在不应公开的文件或信息可公开访问——包括API文档、配置文件、以及本不希望被发现的数据。

十种最常见的暴露途径

以下是过去12个月中影响组织机构的最常见的攻击面风险。

1.MySQL数据库暴露一-26%

2.Postgres 数据库暴露一-16%

3.API文档公开一-15%

4.WordPress管理面板曝光-15%

5.远程桌面服务泄露一-11%

6.SNMP服务暴露一-9%

7.phpMyAdmin 管理面板暴露一-8%

8.UPnP 服务暴露一-8%

9.NTP服务暴露一-7%

10.RPC端口映射器服务暴露一-7%

数据库占据了前两名

暴露的数据库位列前两名，超过四分之一的组织机构暴露了MySQL和Postgres数据库，影响到六分之一的组织机构。面向互联网的数据库长期以来一直是机会主义攻击者的目标。2020年的PLEASE\_READ\_ME勒索软件攻击活动通过暴力破解弱凭据入侵了超过25万个MySQL数据库。MongoDB和Elasticsearch也面临着同样的威胁。