每年四月前后，安全圈都会等一份报告——Verizon 的《数据泄露调查报告》（DBIR）。今年发布的是第 19 版，样本体量依旧可观：覆盖 145 个国家、3.1 万余起真实安全事件，其中确认数据泄露 2.2 万余起，数据区间为 2024 年 10 月到 2025 年 11 月。

做服务器侧安全的人读 DBIR，视角往往和做办公网、做社会工程防护的人不太一样。今年通读下来，最值得服务器侧安全人关注的不是某个单点数字，而是四个相互咬合的信号：入口在变、目标在变、供应链与云配置的风险在累积、攻击者的生产力工具在换代。这四个信号拼在一起，基本勾勒出了未来一两年云工作负载安全建设的优先级地图。

▲DBIR 2026：2024-2026三年攻击模式构成对比

信号一：入口之变——漏洞利用登顶，而修复端在恶化

今年最醒目的变化是初始访问向量的排序：漏洞利用以 31% 的占比首次成为占比最高的初始访问向量，而长期占据榜首的凭据盗用降至 13%。

这个换位值得细读。过去十年，“账号被偷”一直是泄露事件的最大入口，防守方的应对也相对成熟——MFA、凭据轮换、登录异常检测。而漏洞利用登顶，意味着攻击者的敲门方式从“偷钥匙”转向“破门”：不需要钓鱼、不需要社工，只要你的公网服务器上有一个未修复的漏洞，自动化扫描器迟早会找到它。

更麻烦的是修复端的数据在恶化。CISA KEV（已知被利用漏洞）目录中的漏洞，仅 26% 被完全修复，上年这个数字是 38%；完全修复的中位时间从上年的 32 天拉长到 43 天；中位组织手里待修的关键漏洞数量，比上年多了 50%。也就是说，攻击入口在向漏洞倾斜的同时，防守方的修复能力不仅没有跟上，反而在退步——漏洞窗口期在系统性变长。

：暴露面治理成为服务器安全的第一课。这不是“扫一遍漏洞”那么简单，而是三件事的闭环：一是资产清点，先要知道自己有多少台服务器、跑了什么组件、哪些暴露公网——没有台账，漏洞扫描就是盲人摸象；二是漏洞优先级排序，按“是否有在野利用、能否远程利用、是否在公网暴露面”分级，把 43 天的修复窗口优先用在真正会被打的漏洞上；三是弱口令治理，凭据盗用虽降至 13%，但弱口令仍是漏洞利用之外低成本的常见入口之一，需要常态化无损检测而非运动式排查。

▲DBIR 2026 Figure 4：初始访问向量历年演变，漏洞利用（绿线）首次升至首位

信号二：目标之变——勒索更“走量”，公网服务器是主要靶场

勒索软件涉及了 48% 的确认泄露，上年是 44%，继续攀升。但另外两个数字更有意思：69% 的受害方选择不支付赎金，赎金中位数从 150,000 美元降至 139,875 美元。

支付意愿走低、单笔赎金下降，对攻击者意味着什么？一种合理的解读是：“精雕细琢打大客户”的收益率在下降，攻击者有更强动机转向“走量”——用自动化工具批量扫描、批量入侵、批量加密，靠受害者基数弥补单笔收入的下滑。而自动化批量攻击最常用的入口，往往就是公网服务器上那些未修复的漏洞。信号一和信号二在这里完成闭环：漏洞利用登顶与勒索软件的“走量化”在逻辑上相互咬合——批量攻击需要可批量利用的入口，未修复漏洞恰好是其中成本最低的入口之一。

受害面数据与这一判断方向一致。制造业确认泄露 2,713 起，其中漏洞利用占初始访问的 38%——制造业服务器上跑着大量工业软件和老旧组件，补丁窗口天然紧张。中小企业确认泄露 7,152 起，且 100% 来自外部攻击者——中小企业没有专职安全团队，服务器漏洞常年无人修，是“走量”模式下最容易被盯上的目标之一。

：防勒索不能只建在网络边界，必须建在工作负载内部。因为批量攻击的剧本高度雷同——漏洞进来、落地执行、遍历文件、加密破坏——边界设备能拦住的是已知样本，拦不住的是行为。工作负载内部需要三层能力：行为检测（识别加密遍历、批量改密、异常进程链等动作模式）、诱饵检测（在关键路径埋设诱饵文件，勒索软件一动就暴露）、分级阻断（从告警、隔离进程到整机隔离的梯度响应，避免误伤业务）。

信号三：供应链与云配置之变——风险在“别人替你管”的地方累积

归因于第三方的事件增长了 60%。这个数字背后是过去几年供应链攻击的持续发酵：攻击者发现，与其硬啃防护严密的大目标，不如打它的供应商、托管服务商、软件上游——一次渗透，多处收割。

云环境下的配置数据同样不乐观：云第三方 MFA 配置问题仅 23% 完全修复；弱口令和权限配置错误类问题，约一半需要 8 个月才能解决。8 个月，足够一个暴露的管理后台被扫描器光顾无数次。

对服务器侧安全来说，这组数据的现实意义在于：你的风险面不止是你自己写的代码和你自己装的系统。托管面板、预装软件、第三方运维工具、镜像市场拉来的模板——这些“别人替你管”的组件同样跑在你的工作负载上，同样带着漏洞和错误配置，却常常不在任何一份资产台账里。

：两件事。第一，第三方组件必须纳入资产台账——托管面板、预装软件、容器镜像里的基础组件，都要能被清点、被版本化、被关联漏洞情报，否则漏洞通告发布时你根本不知道自己受不受影响。第二，配置基线核查要常态化而非一次性整改。等保、CIS 基准不是用来应付检查的，约一半的权限配置错误要拖 8 个月才解决，很可能说明“整改完就没人再看”相当普遍；只有把基线核查做成持续任务，配置漂移才能被及时发现。

▲DBIR 2026 Figure 5：云第三方MFA暴露的生存曲线，完全修复随时间推移持续走低

信号四：攻击生产力之变——AI 放大的是规模和速度，不是新维度

今年的报告首次系统评估了 GenAI 对攻击侧的影响。数据值得冷静地读：典型攻击者用 AI 辅助研究或开发了 15 种有记录的技术，峰值达到 40 到 50 种——攻击者的“技术广度”确实在 AI 加持下扩张了。但另一个数据同样关键：AI 辅助的攻击中，不到 2.5% 使用了罕见技术；从功能上看，中位数 55 个已知恶意软件就能实现相同的攻击效果。

把两组数据合起来，结论很清晰：AI 目前放大的主要是“已知攻击的规模和速度”，而不是创造了新的攻击维度。样本可能是 AI 新写的、免杀可能是 AI 帮忙做的、变种数量可能爆炸式增长，但攻击动作的骨架——入侵、提权、横向、加密、外联——还是那些老动作。用一句话概括：样本是新的，动作是老的。

：这对防守方其实是好消息，前提是你的检测体系建立在行为层而不是特征层。特征库对抗的是“样本”，面对 AI 批量生成的新变种会疲于奔命；行为级检测对抗的是“动作”，无论样本怎么变形，加密文件的动作、横向移动的动作、异常外联的动作模式是相对稳定的。AI 时代的检测能力建设，重心应从“样本识别率”转向“行为覆盖率与告警准确率”。

▲DBIR 2026 Figure 6：AI辅助攻击使用的ATT&CK技术分布，集中在已知恶意软件技术

收束：四个信号，一张建设清单

把四个信号落回云工作负载安全建设，可以得到一张清单：

这张清单与主流 CWPP（云工作负载保护平台）的能力框架高度重合。以国内某厂商云工作负载安全平台为例，其资产清点、风险发现、合规基线、入侵检测与响应、防病毒防勒索、调查取证、安全管控七大能力，恰好可以逐项对应上面四个信号的建设动作——资产与风险发现对应暴露面治理，防勒索三层检测对应走量化的勒索攻击，合规基线对应配置常态化核查，行为级入侵检测对应 AI 时代的“动作检测”。

DBIR 的价值从来不是数字本身，而是数字之间的结构。今年的结构很清楚：攻击者变得更自动化、更走量、更依赖已知手法的高速复制。对防守方而言，这意味着云工作负载安全的胜负手不在“追新”，而在把暴露面治理、行为检测、基线核查这些基本功做得比攻击者的自动化更快、更密。

1. Verizon《2026 Data Breach Investigations Report》（第 19 版）执行摘要

2. CISA Known Exploited Vulnerabilities（KEV）目录

3. CIS Critical Security Controls 与 CIS Benchmarks

4. Gartner《云工作负载保护平台市场指南》（Market Guide for Cloud Workload Protection Platforms）

5. 青藤云安全《深睿云工作负载安全平台》产品资料

DBIR 2026解读：漏洞利用首超凭据盗用成第一入口，给云工作负载安全的四个信号

安全

新闻资讯

云计算

2026年DBIR报告揭示云工作负载安全四大关键信号：漏洞利用首成首要攻击入口，修复效率却恶化；勒索攻击走向自动化批量模式，公网服务器成主要靶场；供应链与云配置风险持续累积；AI正放大已知攻击的规模与速度。防守重心应转向暴露面治理、行为级检测与常态化基线核查，建设优先级明确，CWPP能力框架与之高度契合。

漏洞扫描

数据泄露

服务器

云安全

容器

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

DBIR 2026解读：漏洞利用首超凭据盗用成第一入口，给云工作负载安全的四个信号

DBIR 2026解读：漏洞利用首超凭据盗用成第一入口，给云工作负载安全的四个信号

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐