研究：约四分之一机构在公网运行厂商已停止支持的产品

所有统计数据均为汇总、匿名化数据，来源于我们自己的被动扫描数据——每个数字都是对我们监控的所有资产中最近一次完整扫描的直接计数（参见 Methodology）。数据截至 2026 年 11 月 2 日。

我们上一篇文章讲的是场竞速：PHP2Shell 发布那天，你能多快找到必须打补丁的主机？但能打上补丁的还算简单情况。还有一类更安静、更糟糕的暴露——已经到达生命周期终点（end-of-life）的软件，厂商已经完全停止发布安全修复。对这类软件，没有补丁可追。永远也不会有。

我们称之为 forever-day：一台主机永久性地距离被攻陷只差一个公开漏洞利用，因为它运行的东西永远不会被修复。剩下的选择只有迁移、隔离或关停——这些都需要实打实的工作，这正是这类主机往往一放就是好几年的原因。

于是我们在所监控的资产中寻找 forever-day。以下是面向互联网的软件群体的真实面貌。

在我们平台上的 736 个组织中，有 176 个——大约四分之一（24%）——至少运行一个已过厂商生命周期终点日期、且面向互联网的产品。

不是“旧版本”。不是“带 CVE 的版本”。而是厂商已公开结束安全支持的版本，未来任何更新都不会携带修复。

而且很少只有一个。在这 176 个组织中，83 个（47%）运行两个或更多不同的生命周期终点产品，还有三个组织运行六个——一整套不受支持的软件同时面向互联网。衰败会叠加：让一个平台老化的组织，往往会让好几个平台一起老化。

普通漏洞有个逃生舱：补丁。打上它，风险就没了。生命周期终点把这个舱门拆掉了。

已过厂商生命周期终点的面向互联网产品，按受影响组织数排列。（我们报告的是组织数，不是主机数——原因见下方说明。）

有个细节值得停下来想想：Exchange 的数字。Exchange 2016 和 2019 的支持持续到 2025 年 10 月——所以在很多情况下，这些是完全打过补丁的服务器，在产品线退役的那天变成了 forever-day。你可能什么都做对了，醒来时却已不受支持。这是 forever-day 最纯粹的形式，也是最新的一波：邮件服务器的敏感程度几乎超过所有外部基础设施。

长尾部分确实很老：72 个组织运行的软件自 2018 年或更早就已生命周期终点——PHP 5.x、Apache 2.2、MySQL 5.5——已不受支持七年甚至更久，今天仍在响应来自公共互联网的请求。

安全厂商的统计数据通常过不了三项检验中的至少一项。以下是我们如何尝试通过——以及我们在哪里刻意放弃了那些容易好看的数字。

1. 我们统计的是组织，不是主机名。一个共享平台——一个 WordPress 多站点、一个负载均衡器、一个通配符 vhost——可以靠单次部署服务成千上万个主机名。按主机名计数会产生巨大吓人的数字（“18000 台主机！”），而这些数字会坍缩成少数几个真实系统。所以这里的每个数字都是去重后的组织数。它是更小、没那么戏剧化的数字，也是诚实的数字。

2. 我们只统计正式的生命周期终点。一个产品只有在其厂商发布了已过去的生命周期终点日期时，才会进入这份普查。这条规则让我们排除了三个最大的类别：

我们本可以把那些算进去，写成“超过 400 个组织运行生命周期终点软件”。我们没有，因为按读者的理解方式，那不会是真的。176 这个数字才是经得起审视的那个。

3. 被动、可复现的观察。这里的每个版本都是从主机自身返回的内容中读取的——Server、X-Powered-By、X-AspNet-Version 头、OWA 构建字符串、服务 banner。我们不发送任何漏洞利用流量。对同一台主机执行 curl -sI，你会看到我们所看到的。

有两个诚实的局限应当紧挨着计数放在一起：隐藏版本的主机对我们不可见，所以这些数字是下限；Linux 发行版可以将安全修复反向移植到已 EOL 的上游版本中，而不改变它对外宣称的版本号，所以其中少数可能由操作系统厂商维护，尽管应用分支已死。我们统计主机所声称的内容，并如实标注。

生命周期终点是唯一一种你无法靠打补丁摆脱的暴露类别，这正是为什么它是对“是否真的有人在看管资产”最真实的检验。forever-day 不会用 CVE 警报宣告自己——它只是待在那里，从厂商离开的那天，直到有人注意到的那天。在我们查看的近四分之一组织中，没有人注意到。

有用的问题不是“我们有没有任何生命周期终点软件？”——在足够大的资产规模下，你大概率有。问题是“我们会知道吗？”当你到处都在运行的一个产品到达生命周期终点日期，或者下一个无法修补的漏洞落在已经到期的产品上时，这是你一分钟内能跑的一次查询，还是别人发现之后你才知道的事？

如果你想看到我们报告方式下的你自己的外部攻击面——包括哪些面向互联网的软件已过生命周期终点且永远无法修补，按组织和系统诚实计数——请申请对你的域名进行扫描。

生命周期终点日期来自各厂商的官方生命周期文档。

Fortirix 像攻击者的第一轮侦察那样绘制你的互联网暴露面——被动地，从外到内。无需 agent，无需凭据。