20年历史漏洞可让黑客远程控制美国列车制动系统

　　2025年7月，美国网络安全与基础设施安全局（CISA）发布紧急公告，揭露全美铁路系统中存在一个潜伏13年的高危漏洞（CVE-2025-1727）。该漏洞源于列车尾部（End-of-Train, EoT）与头部（Head-of-Train, HoT）设备间通信协议的薄弱BCH校验机制，攻击者可利用软件定义无线电（SDR）伪造制动指令，远程触发列车急停或制动系统故障。尽管目前尚无公开利用案例，但CISA将其定性为可能造成灾难性后果的重大风险。

　　关键时间线年：安全研究员Neils首次向美国铁路协会（AAR）报告漏洞，被以理论风险为由搁置

　　设计初衷：EoT设备自上世纪80年代末启用，通过BCH校验确保数据包完整性，但未引入身份认证或加密机制

　　设备伪造：攻击者利用SDR设备模拟EoT/HoT通信频段（仅限铁路内部频段）

　　法律授权：依据《2021年改善国家网络安全行政令》，CISA发布约束力操作指令（BOD），要求铁路运营商：

　　争议焦点：AAR信息安全负责人坚持设备已接近生命周期终点，主张自然淘汰而非专项修复

　　AI赋能：部署基于机器学习的异常指令检测系统（如DeepRailGuard）

　　美国铁路漏洞事件揭示了关键基础设施保护中的三大核心矛盾——历史遗留系统的安全债务、公私部门的责任边界、技术升级的成本分摊。当500美元的SDR设备足以威胁价值数亿美元的列车系统时，安全投入已不再是选择题，而是关乎公共安全的必答题。这场迟到的警报，或许正是全球铁路行业迈向安全优先转型的起点。天富用户注册