软件存在缺陷是不可避免的，但其中一些已被网络攻击者利用。
所有的计算机程序都依赖于代码来运行，但编码缺陷可能会导致严重的软件漏洞。其中一些产生广泛的影响，严重影响网络世界的安全。
那么，哪些软件漏洞目前仍然带来很严重的威胁呢?
Log4ShellLog4Shell软件漏洞存在于Apache Log4j中，Apache Log4j是一种流行的Java日志框架，全世界有数千万人使用。
2021年11月，阿里云安全团队发现了一个关键的编码漏洞。该漏洞正式命名为 CVE-2021-44228，被称为 Log4Shell。
Log4Shell 安全漏洞是一个0day漏洞，因此在网络安全专家注意到之前就被恶意行为者利用，这意味着他们可以运行远程代码执行。通过这种方式，攻击者可以将恶意代码安装到 Log4j 中，从而实现数据盗窃、间谍活动和恶意软件的传播。
尽管在发现Log4Shell漏洞后不久就发布了补丁，但此安全漏洞绝没有过去。
网络犯罪分子至今仍在利用Log4Shell漏洞，尽管该补丁已经大大降低了威胁级别。据Rezilion称，令人震惊的是，26%的公共Minecraft服务器仍然容易受到Log4Shell的攻击。
EternalBlueEternalBlue(官方名称为MS17-010)是一个软件漏洞，美国国家安全局在Microsoft发现了EternalBlue漏洞，但直到五年后，Microsoft才意识到这个漏洞。
2017年，一个名为Shadow Brokers的组织在数字化渗透美国国家安全局后，泄露了EternalBlue的存在。事实证明，这个漏洞让美国国家安全局获得了秘密的后门，可以访问一系列基于Windows的设备，包括运行Windows 7、Windows 8和经常被恶意中伤的Windows Vista的设备。换句话说，NSA可以在用户不知情的情况下访问数百万台设备。
HeartbleedHeartbleed安全漏洞于2014年被正式发现，尽管它在OpenSSL代码库中已经存在了两年。OpenSSL库的某些过时版本包含Heartbleed，在发现后被认为是严重的。
Heartbleed官方名称为CVE-2014-0160，由于其在OpenSSL中的位置，Heartbleed是一个非常关键的问题。由于OpenSSL被用作网站数据库和最终用户之间的SSL加密层，因此可以通过Heartbleed漏洞访问大量敏感数据。
但在这个通信过程中，还有另一个未加密的连接，这是一种确保对话中的两台计算机都处于活动状态的基础层。
黑客找到了一种利用这种未加密通信线路的方法，以便从以前安全的计算机中挤出敏感数据。从本质上讲，攻击者会向系统发送大量请求，希望获得一些有价值的信息。
Heartbleed在其正式发现的同一个月内进行了修补，但旧版本的OpenSSL仍然容易受到该漏洞的影响。
Double KillDouble Kill(或CVE-2018-8174)是一个严重的0day漏洞，使Windows系统面临风险。该漏洞于 2018 年发现。Double Kill在Windows Internet Explorer浏览器中被发现，并利用VB脚本缺陷。攻击方法涉及使用恶意 Internet Explorer 网页，其中包含滥用漏洞所需的代码。
如果利用得当，Double Kill 有可能为攻击者提供与原始授权用户相同的系统权限。在这种情况下，攻击者甚至可以完全控制一个人的Windows设备。
CVE-2022-0609CVE-2022-0609 是 2022 年发现的另一个严重软件漏洞。这个基于Chrome的漏洞原来是一个0day漏洞，被攻击者在野利用。
此漏洞可能会影响所有 Chrome 用户，这就是其严重性级别如此之高的原因。CVE-2022-0609 是所谓的释放后使用错误，这意味着它能够远程更改数据和执行代码。
没过多久，谷歌就在 Chrome 浏览器更新中发布了 CVE-2022-0609 的补丁。
BlueKeep漏洞2019年，网络安全专家凯文·博蒙特(Kevin Beaumont)发现了一个名为BlueKeep的关键软件漏洞。该漏洞可能存在Microsoft的远程桌面协议中，该协议用于远程诊断系统问题，以及允许用户从另一台设备远程访问其桌面。
BlueKeep 正式名称为 CVE-2019-0708，是一个远程执行漏洞，这意味着它可用于在目标设备上远程执行代码。Microsoft开发的概念证明表明，目标计算机可能会在一分钟内被攻击者入侵并接管，这凸显了漏洞的严重性。
一旦访问设备，攻击者就可以在用户的桌面上远程执行代码。
BlueKeep的一个优点是它只影响旧版本的Windows，包括:
Windows Vista。Windows XP。Windows Server 2003。Windows Server 2008。Windows Server 2008 R2。Windows 7。ZeroLogonZeroLogon，或官方名称CVE-2020-1472，是2020年8月发现的基于Microsoft的软件安全漏洞。通用漏洞评分系统(CVSS)在严重等级上给这个漏洞打了10分，说明其非常危险。
这可以利用通常存在于Windows企业服务器上的Active Directory资源。这被称为Active Directory Netlogon远程协议。
ZeroLogon将用户置于危险之中，因为它有可能改变敏感的帐户详细信息，包括密码。该漏洞利用身份验证方法，无需验证身份即可访问帐户。
软件漏洞普遍存在我们非常依赖软件，以至于错误和缺陷出现是很自然的。但是，其中一些编码错误可能会让位于高度可利用的安全漏洞，从而使提供商和用户都面临风险。
我们对软件的依赖程度日益增加，因此出现缺陷和安全漏洞是很自然的。但是，其中一些编码错误可能会导致可利用的安全漏洞，使开发商和用户都处于危险之中。静态代码检测工具针对源代码，可以在开发期间帮助开发人员及时发现代码安全问题并给出相应的建议，随着企业逐渐采用安全开发的模式，静态代码检测工具已成为提高代码安全和软件安全不可或缺的一员。
参读链接：
https://www.makeuseof.com/worst-software-vulnerabilities-ever/