邮件安全网关爆出远程代码执行（RCE）类 CVE 时，应如何应急缓解？

Question

Accepted Answer

第一响应 确认 CVE 影响版本与触发面（是否需要特制附件/特定协议）。若漏洞由附件解析触发，可临时在网关层强制拦截该类型附件或启用沙箱先隔离再投递；若为管理端口暴露，立即在网络层限制来源 IP 并关闭公网访问。同时订阅厂商安全公告获取正式补丁时间。 临时缓解手段 ①将受影响组件降到最小权限运行（去除不必要的系统调用/容器特权）；②开启 WAF/IPS 针对已知利用 payload 的特征拦截；③对入站附件做更激进的内容解压/杀毒策略与文件类型白名单。缓解只是争取时间，不能替代补丁。 补丁与加固 官方补丁发布后第一时间在测试环境验证再上线；上线后启用自动更新与 CVE 订阅、定期资产盘点（避免影子实例漏更）、保持组件最小化暴露面。建议保留漏洞被利用时的检测规则（如异常子进程、可疑出站连接）以便事后发现。 参考：CISA 已知被利用漏洞目录（KEV）、厂商安全公告流程、MITRE ATT&CK 初始访问与执行战术。