2026 年 10 月 13 日，一支外部安全研究团队向 IXCDN 报告了两个可以串联的配置边界问题。我们随后隔离了相关测试账户与配置，审计适用范围内的日志，并修复账户验证、域名权属和证书发布链路。
以下是截至 2026 年 10 月 15 日确认的事实。若后续审计出现会改变结论的新信息，本文将同步更新。
问题经过
一次环境策略变更后，邮箱验证策略与持久化账户状态没有保持一致。少数自助注册账户在完成邮箱验证前被错误记录为可用状态，不同登录和会话入口对这一状态的检查也不统一。
研究团队随后发现，DNS、CDN 和静态网站三个入口分别维护域名权属，没有在底层共用一条不可绕过的命名空间边界。未经验证的账户因此可以创建涉及平台自有域名或其子域的待验证记录。这些记录没有通过验证，也没有进入有效的 DNS、CDN、网站发布或证书签发配置。但普通租户能够创建这类记录，本身就是安全边界缺口。
影响范围
研究团队的操作止于概念验证。相关域名记录没有通过权属验证，测试账户也没有获得修改既有客户配置的权限。
日志和配置审计未发现客户账户或业务数据被访问、导出或篡改，也未发现客户域名的 DNS 解析或 CDN 路由被改写。
审计期间，www.ixcdn.com 曾短暂出现证书不匹配。复核结果表明，它与上述概念验证和待验证记录无关。独立的证书续签流程错误地将根域与 www 拆成两张证书，导致了不匹配。流量没有被转发到研究团队控制的源站。我们已经恢复正确证书，并完成存量证书分组的对账与修复。
根因
问题不是少了一个校验条件，而是同一安全状态在不同层有不同解释：邮箱验证在账户状态和请求鉴权中语义不一致；域名权属又由多个产品入口分别判断，缺少覆盖平台自有域名及其子域的统一底层边界。
两个问题组合后，暴露了平台自有资产保护以及“待验证配置能否发布”这条边界上的设计缺口。
已完成的整改
相关修复不只处理测试账户和待验证记录，也统一了底层状态与权限边界：
- 统一账户验证生命周期。 自助注册账户在邮箱验证完成前保持待验证，验证成功后才可使用。登录、动态会话、API 密钥和已签发会话都会实时检查账户与租户状态。账户暂停、禁用或不再满足验证条件时，既有凭证立即失效。安全敏感配置同时纳入基线校验与变更巡检。
- 建立跨产品的域名权属边界。 DNS、CDN 和静态网站现在共用域名命名空间与权属规则。已验证根域保护其子域；平台自有域名进入普通租户不可变更的系统保留范围；精确域名、父域和子域的并发认领在同一数据库事务中串行校验。待验证或不符合新规则的存量记录不会进入 DNS、路由或网站发布配置。
- 修复独立的证书续签问题。 根域和
www默认由同一张证书覆盖，续签时不再拆分。发布前会检查证书 SAN 是否精确覆盖目标主机名。存量证书分组已经完成自动对账，相关边界校验、告警和审计链路也已复核。这项修复针对审计期间另行发现的证书问题，不是红队验证造成的影响。
上述修复已部署，我们仍在持续检查运行数据和审计结果。
安全反馈与致谢
感谢研究团队控制验证范围并及时提交了可复现信息。我们已为本次发现准备专项致谢奖励；相关研究人员可通过 noc@wlstack.com 联系我们。
IXCDN 接受符合安全测试政策的负责任披露。提交安全问题时，请一并提供影响范围、复现步骤和必要的请求记录，避免访问或保留不属于测试账户的数据。
— IXCDN 安全团队
2026 年 10 月 15 日