Cloudflare推出Zero Wire公开漏洞情报流：只收面向互联网软件的关键CVE，区分严重程度与利用证据，WAF拦截数不等于被攻陷数

2026年11月3日，Cloudflare推出Zero Wire，这是Cloudflare Radar安全板块中的一个公开漏洞情报流。作者Daniele Molteni和Celso Martinho写道，AI正在提高关键漏洞发现的数量和速度，安全团队在下一个披露到来之前，还要回答“我们受影响吗，我们在做什么”。Zero Wire想以新闻通讯社的方式，给他们一个起点。文章说，无论是不是Cloudflare客户，这些信息都有用。

每份简报包括：对发生了什么、为什么重要的通俗说明，谁应该调查，一份简短的“现在该做什么”，以及证据和厂商指引的链接。Cloudflare还提供一段预先编写的提示词，可交给你自己的AI智能体使用。文章说，这段提示词要求对已部署软件、相关厂商修复、暴露面和补偿控制做只读评估，并给出逐资产的证据、未知项和下一步，复制提示词本身不会扫描或更改任何系统。所以结果好坏取决于你自己的智能体和团队带来的访问权限与复核。

范围是刻意收窄的。Zero Wire不是所有CVE的目录，也不取代厂商公告或漏洞数据库。它关注面向互联网的软件中的关键CVE，例如Web应用、它们依赖的运行时和库，以及代理可以帮助缓解利用的暴露服务。Cloudflare说由它挑选议题，并且Cloudflare专门的防护（例如Web应用防火墙WAF规则）不是收录的前提。有些问题需要厂商更新，或需要Cloudflare可检查的流量之外的改动。

首页把简报分成“需要关注”和“参考”：前者是需要主动评估或行动的问题，后者是指引已趋稳定的问题。移到“参考”并不意味着所有受影响系统都已修补。每张卡片显示状态和最后检查日期，文章提醒，已知被利用、仍在调查、已有厂商修复，说的是不同的事。文章还说，严重程度和主动利用的证据是两回事，读者需要两者兼顾。

证据部分是文章最谨慎的地方。简报链接到CVE记录、研究和利用证据，例如CISA的已知被利用漏洞目录，并可能附上匹配Cloudflare WAF托管规则的流量图表。文章明确：这类请求数不是被攻陷系统或成功利用的数量；观察到一次攻击尝试，不能说明某个组织已被攻陷；Cloudflare网络上没看到尝试，也不能说明别处没有被利用。简报努力区分来源能证实的和仍未知的，并用更新时间线记录新的公告或变化。

文中的例子是php2shell，即PHP运行时中的两个缺陷。Cloudflare早先的文章说，这两个缺陷（CVE-2026-109618和CVE-2026-109619）于10月21日披露，影响运行PHP 5.4及以上版本的服务器，当天UTC 3:02起免费和付费客户默认获得WAF防护，比公开披露早约9小时。Zero Wire要强调的是：更新应用代码或插件并不能修复运行时缺陷，所以简报把读者引向正确的负责人和PHP指引。那篇早先文章还有10月23日的更新，涉及相关问题CVE-2026-115560，它影响已完整打补丁的版本，只有站点保留默认的上传进度字段名时，WAF规则才覆盖。

Cloudflare对自己的角色也很坦率。如果有适用的WAF规则，简报会说明并给出配置要求，附带指向控制台的链接，但链接既不会启用规则，也不会验证部署。文章说，WAF缓解是对其覆盖流量的补偿控制，不能替代修复有漏洞的软件，拦截请求也无法撤销已在源站执行的操作。对团队而言，Zero Wire是应与厂商公告并读的分诊辅助，文章没有给出它到底节省多少时间的实测数据。

简单概括：Zero Wire只收面向互联网软件的关键CVE，并把严重程度和主动利用的证据分开。WAF规则匹配的请求数不是被攻陷系统的数量，没看到攻击尝试也不代表别处没有被利用。简报里的提示词只做只读评估，复制它不会扫描或更改任何系统。WAF是补偿控制，不能替代修补，拦截请求也无法撤销已经在源站执行的操作。文章没有给出这个情报流能节省多少时间的数据。

补充一点：简报分为“需要关注”和“参考”两类，每张卡片带有状态和最后检查日期；移到“参考”并不表示所有受影响的系统都已修补。每份简报还附有更新时间线，记录新的公告或证据变化，方便回访的读者了解自上次以来发生了什么。