澎湃新闻记者 吴雨欣

阿里云承认了先向开源社区汇报安全漏洞，未及时告知合作平台。

12月23日，阿里云发布关于开源社区阿帕奇（Apache） log4j2漏洞情况的说明称，因在早期未意识到该漏洞的严重性，未及时共享漏洞信息，将强化漏洞管理、提升合规意识，积极协同各方做好网络安全风险防范工作。

阿里云在情况说明中表示，近日，阿里云一名研发工程师发现Log4j2 组件的一个安全bug，遂按业界惯例以邮件方式向软件开发方Apache开源社区报告这一问题请求帮助。Apache开源社区确认这是一个安全漏洞，并向全球发布修复补丁。随后，该漏洞被外界证实为一个全球性的重大漏洞。此前一天，澎湃新闻记者从接近工信部人士处获悉，因未及时报告严重安全隐患，阿里云公司被暂停作为工信部网络安全威胁信息共享平台合作单位6个月。事件导火索即为阿帕奇 log4j2 漏洞未及时上报。阿里云官网显示，12月9日，阿里云安全团队发布 Apache Log4j2 远程代码执行漏洞（CVE-2021-44228） 安全通告。据多家外媒报道称，该漏洞最早由阿里云的网络安全专家发现，并在11月24日报告给阿帕奇软件基金会，远早于12月9日工业和信息化部网络安全威胁和漏洞信息共享平台收到有关网络安全专业机构报告的时间节点。

根据我国《网络产品安全漏洞管理规定》，网络产品提供者应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。