内核漏洞被提前公开这事不简单

看到 Linux 内核多个未修复漏洞被直接发到公开邮件列表的消息，我第一反应是：这要是真的误操作，ZDI 的内部流程得乱成什么样。至少两个 SMB 相关漏洞 CVSS 高达 9.0，能导致远程代码执行，而且公开时补丁还没写完。Greg Kroah-Hartman 亲自在邮件列表里质问，说明连内核维护者都是懵的。

从漏洞清单看，这次涉及面很广：SMB Direct 整数下溢、KSMBD 竞争条件都是 9.0 的远程代码执行，还有网络子系统、VMware 图形驱动、NVMe Target 等本地提权或信息泄露问题。对运维和云厂商来说，这些组件几乎覆盖了文件共享、虚拟化和存储路径，任何一个被利用都不是小事。我比较认同一种判断：这未必是单纯手滑。安全研究社区和厂商之间关于披露节奏的拉扯一直存在，ZDI 这类机构有时会用公开来倒逼修复进度。但把未修复的高危漏洞直接扔进 LKML，等于把维护者和用户都架在火上烤，做法值得商榷。对出海做基础设施的团队来说，这事提醒我们别只盯着已发布的 CVE。内核安全补丁的流转有自己节奏，邮件列表里的风吹草动可能比公告更早。建议近期重点排查 KSMBD 和 SMB Direct 的暴露面，NVMe Target 和 VMWGFX 也别漏掉，尤其是多租户环境。长期看，漏洞披露流程需要更明确的边界。安全研究要负责任，但厂商修复也不能无限拖。作为用户，我们能做的是缩短自己的响应链条，别等 CVSS 9.0 上了头条才动手。