5 月教育网整体运行平稳，未发现严重的安全事件。从5 月开始我们与国内的知名安全平台乌云网开始合作，对该平台上发布的与各高校有关的网站安全事件进行通知处理，到目前为止已经通知处理了389 个网站的安全问题。这389 个网站中存在的安全问题主要包括SQL 注入、XSS跨站脚本攻击、权限控制错误导致的越权访问或是任意文件的上传和下载、网站存在弱口令用户等。其中SQL 注入漏洞是存在数量最多的漏洞，其次是权限控制漏洞，存在弱口令的网站数量也不少。这些问题网站涉及的院校既有排名靠前的重点院校，也有一般的职业技术学院，且多为学校的二级网站，其中不少还是计算机系的网站。从这可以看出一个问题，造成这些网站全问题并不是因为技术上存在瓶颈，更多的是管理上的缺失，是对安全不重视造成的。

　　5 月除通过乌云安全平台投诉过来的网站漏洞数量大增外，其他的事件数量与往常基本持平。

　　病毒与木马

　　近期没有新增特别需要关注的木马病毒。

　　近期新增严重漏洞评述

　　微软 5 月的安全公告，本次公告共9个，其中3 个为重要等级，6 个为重要等级，该公告共修复了Windows 系统、Office软件、IE 浏览器、.NET Framework、SharePoint Server、Office Services 和 Web Apps 中存在的14 个安全漏洞。用户应该尽快安装相应的补丁程序。相关公告的信息请参见：https://technet.microsoft.com/library/security/ms14-May。

　　值得提醒的是IE 浏览器在4 月底曝出一个0day 漏洞（CVE-2014-1776），影响IE 浏览器全线产品，随后微软在5 月1 号被迫紧急发布了一个安全公告（MS14－ 021）。虽然微软已于4 月停止了对Windows XP 系统的支持，但是鉴于此漏洞的危害性，微软还是在公告中为XP 系统的IE6 和IE7 提供了补丁程序。相关公告的详细信息请参见：https://technet.microsoft.com/library/security/ms14-021。

　　除了上述公告中提到的漏洞外，IE8浏览器在处理CMarkup 对象的过程中也存在一个0day 安全漏洞，攻击者利用此漏洞可在IE 当前进程的上下文中执行任意代码。目前微软还未针对该漏洞发布补丁程序，建议用户随时关注厂商的动态。

　　Adobe 公司在4 月28 号追加发布了一个安全公告，用于修补其Flash palyer产品中的一个远程代码执行漏洞（CVE-2014-0515）, 公告的详细信息请参见公告：https://helpx.adobe.com/security/products/flash-player/apsb14-13.html。

　　随后Adobe 公司在5 月的例行公告发布日又发布了2 个(APSB14-14 和APSB14-15) 安全公告，用于修补AdobeFlash player 软件及Adobe Acrobat ／Reader 软件中的17 个安全漏洞， 其中Flash player 涉及6 个，Acrobat ／ Reader软件涉及11 个。公告相关信息请参见：

　　http://helpx.adobe.com/security/products/flash-player/apsb14-14.html；http://helpx.adobe.com/security/products/acrobat/apsb14-15.html。

　　另一个值得关注的漏洞是Linux 内核中存在一个权限提升漏洞（CVE-2014-0196）， 此漏洞从2009 年的2.6.31-rc3版本的内核中开始存在，直到最近才被人发现公布出来。这个漏洞可以使得本地普通权限的用户提升自己的权限到超级用户，从而在系统中执行任意操作。目前漏洞的攻击代码已经被发布，相应的内核修补补丁也已经发布，管理员可以手动升级自己系统内核来防范此漏洞，相关信息请参见：https://git.kernel.org/cgit/linux/kernel/git/stable/linux-stable.git/commit/?id=4291086b1f081b869c6d79e5b7441633dc3ace00。