公开空间
TL;DR：2008 年 12 月 31 日，大批 30GB 的第一代 Zune 在同一天开机卡死。原因是时钟驱动里把「天数换算成年份」的循环，在闰年的第 366 天永远出不去。微软给的办法是让电池耗尽，等元旦过了再充电开机；设备到第二天会自己好。 2008 年 12 月 31 日，这一年是闰年，这一天是第 366 天。当天凌晨前后，不少第一代 Zune 30（30GB 版）卡在启动画面，怎么按都没反应。因为是同一天、同一款机器、全球同时出事，网上很快有了「Y2K9」的戏称。
TL;DR：2013 年 10 月 1 日，美国医保交易网站 Healthcare.gov 上线即崩溃。美国国会众议院监督委员会后来公开的内部会议记录称，首日只有 6 人成功注册保险，但这是非正式的会议笔记，卫生部门（HHS）也不认可其权威性，各方数字并不完全一致。可以确定的是，美国政府问责局（GAO）2014 年的报告认定，项目在规划和监督上存在严重缺陷。 这是一件发生在 2013 年的旧事，不是最近的新闻。 《平价医疗法案》（俗称奥巴马医改）要求各州在 2014 年 1
TL;DR：2021 年 6 月 8 日，CDN 服务商 Fastly 的全球网络约 85% 返回错误，大量知名网站同时无法访问。Fastly 事后说明，原因是 5 月 12 日起部署的软件里藏着一个未被发现的 bug，被某位客户一次“合法”的配置变更触发。这不是黑客攻击，也不是该客户的错；约 49 分钟内 95% 的网络恢复正常。 这是一件 2021 年的旧事，这里当作案例回顾，不是今天的新闻。 2021 年 6 月 8 日 UTC 09:47，Fastly 的网络开始出现
TL;DR：2005 年，索尼 BMG 的部分音乐 CD 内置了名为 XCP 的版权保护软件，用户在 Windows 电脑上播放就会被装上一个会隐藏自身的组件，行为类似 rootkit。它带来了安全隐患，还很难卸载，被曝光后很快出现了利用它的恶意程序。索尼 BMG 最终召回光盘并赔偿，但并未承认违法。 这是一起 2005 年的旧事，发生在 CD 还是主流音乐载体、盗版翻录让唱片公司焦头烂额的年代，不是最近的新闻。 2005 年 10 月 31 日，当时在 Winternals
TL;DR：1962 年 7 月，NASA 的水手 1 号金星探测器发射不到 5 分钟就被地面下令炸毁。流传最广的说法是“一个漏掉的横杠”，但官方资料指出，失败是 Atlas 火箭上的制导信标故障加上软件公式里漏掉一条上划线（overbar）共同造成的。软件错误确实存在，但并非单独的“罪魁祸首”；“横杠”和“1800 万美元”等流行细节，本文不做断言。 这是 1962 年的旧事，不是新闻。 水手 1 号是 NASA 水手系列的第一个探测器，目标是飞越金星。1962 年 7 月
TL;DR：2021 年 12 月，Java 日志库 Apache Log4j 2 被披露存在编号 CVE-2021-44228 的漏洞（俗称 Log4Shell），攻击者只要能让程序把一段特制字符串写进日志，就可能让服务器加载并执行远程代码。它的严重程度评分为满分 10.0，已确认被大规模利用。本文只讲这个漏洞本身，不涉及具体某家公司的损失数字，那些我没有核实。 这是 2021 年底的旧事，不是今天的新闻。2021 年 12 月上旬漏洞公开后，美国 CISA 在 12 月
TL;DR：2017 年，美国征信巨头 Equifax 因没有及时修补 Apache Struts 漏洞，被攻击者潜伏 76 天，约 1.45 亿至 1.48 亿人的个人信息外泄（不同阶段、不同文件口径不一）。美国国会众议院监督委员会的报告指出，负责检查加密流量的监控设备，证书早在 2016 年 1 月就过期，让入侵监测失明长达 19 个月。需要说明的是：「76 天」是攻击持续时间，不是监控失明的时间。 这是一桩 2017 年的旧事，本文是回顾，不是今天的新闻。 2017 年
TL;DR：2014 年 2 月，苹果修复了 Secure Transport 中的一个严重漏洞（CVE-2014-1266）：TLS 握手里一行重复的 goto fail; 让服务器签名校验被直接跳过。攻击者在同一网络中可冒充 HTTPS 服务器，窃听或篡改数据。这是一个确认存在并已修复的真实漏洞；至于有没有人在现实中大规模利用，本文所依据的资料并未给出结论。 这是 2014 年的旧事，不是今天的新闻。2014 年 2 月 21 日，苹果发布 iOS 7.0.6，随后在 2
TL;DR：2021 年 10 月底，Roblox 全平台中断约 73 小时。公司事后复盘称，直接原因是服务发现组件 Consul 的新“流式”功能在高负载下发生争用，同时 Consul 底层的 BoltDB 在这一负载下出现性能病态。排查期间，监控本身也依赖 Consul，工程师一度“看不见”系统。Roblox 称没有用户数据丢失，也没有未授权访问。 这是 2021 年的旧事，不是今天的新闻。Roblox 在 2022 年 1 月发布了复盘文章，下面的内容均出自这份复盘。
TL;DR：1994 年，林奇堡学院的数学教授 Thomas Nicely 在算孪生素数时发现，奔腾处理器的浮点除法偶尔会算错。英特尔起初只肯给“有科学需求”的用户换芯片，在舆论压力下于当年 12 月改为按需全面更换，并在 1995 年 1 月宣布计提 4.75 亿美元税前费用。需要说明的是：这个缺陷触发概率很低，并非每次除法都出错。 这是三十多年前的旧事，发生在 1994 年。 教授的数字对不上 Nicely 当时在研究孪生素数。据维基百科的梳理，他在 1994 年 6 月
TL;DR：2022 年 4 月，Atlassian 为清理一个旧插件运行了删除脚本，却被交了「站点 ID」而不是「插件 ID」，结果整站被删。官方复盘称这不是黑客攻击，也没有数据被未授权访问；受影响的有 775 家客户，部分客户最长停摆 14 天。官方说客户丢失的数据不超过 5 分钟，但恢复速度远低于其自身目标。 这是一起 2022 年 4 月的旧事故，并非近期新闻，以下内容依据 Atlassian 事后发布的官方复盘。 2021 年，Atlassian 收购并整合了一款名
TL;DR：2019 年 7 月 2 日，Cloudflare 推送了一条 WAF（网页应用防火墙）新规则，其中的正则表达式发生灾难性回溯，全球处理 HTTP/HTTPS 的 CPU 几乎被打满，网站大面积返回 502，故障持续约 27 分钟。这不是黑客攻击，而是一次内部变更。Cloudflare 官方复盘强调，正则只是 11 个促成因素之一，并非唯一原因。 这是一起 2019 年的旧事故，不是最近的新闻，但它至今仍是“正则回溯”与“全球一次性发布”的经典教材。 一次“小改动