应用安全公司 Miggo Security 近日发布了一份最新研究报告，深入剖析了 Web 应用防火墙（WAF）在真实安全环境中的应用现状。研究指出，虽然 WAF 是企业安全基础设施的基石，但在应对关键漏洞、CVE 以及 AI 驱动的新型威胁时，其有效性正受到严峻挑战。

报告核心结论令人警醒：在默认配置下，超过一半的公开漏洞能够成功绕过主流 WAF 的拦截。

核心发现：防御缺口与高昂代价

Miggo 的这项研究分析了超过 360 个具有代表性的 CVE 漏洞，涵盖了攻击者优先利用的各类场景。通过评估主流 WAF 厂商的防御效果，研究揭示了当前防御体系中的巨大裂痕：

  • 过半漏洞可轻松绕过：即使在防御条件有利的情况下，52% 的漏洞利用仍能绕过 WAF 的默认规则。若考虑到真实攻击载荷的多变性，这一比例只会更高。

  • 防御时间差长达 41 天：这是一个极不对称的对抗。攻击者的利用代码通常在漏洞披露数小时内出现，而主流 WAF 厂商平均需要 41 天 才能发布针对特定 CVE 的规则更新。这 41 天的“暴露窗口期”正是企业最脆弱的时候。

  • AI 增强规则可显著提升防御：当不再依赖通用攻击特征，而是利用 AI 结合具体的漏洞和应用上下文生成定制规则时，超过 91% 的被绕过漏洞可以得到有效缓解。

  • 年均损失高达 600 万美元：由于暴露窗口期长、不必要的修复成本以及误报带来的运营负担，一家中型企业每年因 WAF 运营缺陷面临的潜在损失估算约为 600 万美元。

现实案例验证：“React2Shell” 危机

报告发布之际，正值 “React2Shell” (CVE-2025-55182) 漏洞被发现。这是一个存在于 React 和 Next.js 中的高危漏洞（CVSS 评分 10.0），其爆发为报告结论提供了最直观的现实验证。

Miggo Security 首席执行官 Daniel Shechter 直言：“WAF 虽必不可少，但它们无法独自赢得这场 AI 时代的零日漏洞竞赛。‘React2Shell’ 就是旧防御模型失效的教科书式案例。这是一个 CVSS 满分的威胁，其利用逻辑隐藏在复杂的‘Flight’协议反序列化过程中——标准 WAF 特征码极少会检查这种位置。”

Shechter 强调，要填补这 41 天的防御空白，唯一的出路是从缓慢、通用的特征码匹配，转向由**运行时情报（Runtime Intelligence）**生成的快速、感知漏洞利用的规则。

专家观点：从“通用签名”转向“运行时智能”

Duha 公司首席信息安全官（CISO）Andy Ellis 在报告中指出：“这项研究通过数据澄清了一个事实：WAF 目前是一种‘未被充分利用的资产’。主要原因在于通用的手动签名模型侵蚀了用户的信任。安全团队既无法承受误报带来的业务风险，也无法等待厂商耗时 41 天来测试特定 CVE 的规则变更。”

报告认为，WAF 的边缘部署优势若能与运行时情报相结合，将释放巨大的潜力。

  • 现状：被动的、一次性的修复，依赖厂商缓慢更新。

  • 未来：通过运行时增强（Runtime Augmentation）提供必要的智能和自动化，将 WAF 转变为针对所有关键 CVE 的可靠、高置信度防御层。

这种增强的方法不仅能大幅缩短暴露窗口期，还能有效降低因误报和低效运营带来的数百万美元损失，为现代防御策略提供更可靠、更具 AI 就绪性的缓解层。

对于安全团队的建议： 面对“React2Shell”等利用复杂逻辑绕过传统检测的漏洞，建议评估现有的 WAF 策略，并考虑引入具备运行时上下文感知的安全工具，以弥补特征码更新滞后带来的风险敞口。

报告链接：

https://www.miggo.io/reports-webinar/benchmark-study-of-waf-weakness-and-ai-mitigation

声明：本文来自GoUpSec，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。