2024年CrowdStrike大规模蓝屏事件

2024年CrowdStrike大规模蓝屏事件

紐約市拉瓜地亞機場行李輸送帶軟體更新錯誤導致多起蓝屏死机事件畫面
日期	2024年7月19日 (2024-07-19)
地点	全世界
类型	网络瘫痪
起因	CrowdStrike配置文件更新异常导致的电脑崩溃
動機	错误的网络安全软件更新，而非网络攻击
结果	全球约850万台Microsoft Windows操作系统设备意外崩溃 多国关键服务和其他服务中断，被称为信息技术史上最大的中断事件

2024年7月19日，由于美国网络安全公司CrowdStrike分发异常更新，導致全球大批於Windows操作系统上使用相關軟件的计算机和虚拟机设备出现故障，并波及多个行业。微软表示此次故障影响了全球近850万台设备。此事也被专家称为“历史上最严重的IT故障事件”。

众多行业受到冲击，如航空業、银行、酒店、医院、证券市场及广播电视；政府服务（如紧急电话号码和政府网站）亦受影响。电子支付和緊急服務也未能幸免。此事预计在全球范围内造成数十亿美元损失。

事发一小时内，该故障于被发现并發佈修复，但由於相關修復未必能自動批量完成而需人手進行，事件对各行各业的冲击一时不会平息。

事件背景

CrowdStrike商标（迄2024年）

本次事件中，Windows Server设备显示蓝屏死机画面，可见出问题的文件为csagent.sys.

CrowdStrike提供一系列安全软件保护计算机免于网络攻击。旗下漏洞扫描器“猎鹰传感器”（Falcon Sensor）產品在个人电脑的操作系统内核层面安装网络传感器，以检测和预防威胁。CrowdStrike会定期向客户分发修補程式，使他们的计算机能够应对新的威胁。

7月18日，即在此次问题更新前，Microsoft Azure云服务发生异常，导致美国中部部分Azure用户无法访问其云存储及Microsoft 365服务。微软表示，两起事件并无关系，但对这些受影响公司的客户来说，问题却更加复杂。

协调世界时（UTC）7月19日早上4时09分，部署在Azure的Windows虚拟机开始重启及崩溃，6时48分，Google计算引擎报告此问题。7时15分，Google宣布CrowdStrike更新存在问题。

CrowdStrike首席执行官乔治·库尔茨确定此事由CrowdStrike的异常驱动更新造成，而非网络攻击。

技术细节

协调世界时（UTC）2024年7月19日04时09分，CrowdStrike為其Windows版本Falcon軟件產品發佈一項更新。當中用於篩檢命名管道的配置文件（291號通道文件，Channel File 291）的更新導致了端點偵測與回應客户端的逻辑错误。這觸發了设备蓝屏死机，并显示由页缺失引起的终止代码PAGE_FAULT_IN_NONPAGED_AREA，以及“失败的操作：csagent.sys”。这造成设备陷入启动循环或恢复模式。该故障主要发生于运行Windows 10及Windows 11的设备，而运行Windows 7或Windows Server 2008 R2的设备未受影响。该故障仅存在于安装CrowdStrike Falcon的Windows设备，绝大多数个人电脑免于故障。

补救措施

受影响设备需通过安全模式或Windows恢复环境於驱动程序文件夾%windir%\System32\drivers\CrowdStrike\下删除以C-00000291-開頭的.sys配置文件以恢复正常。由于这一过程必须在每台机器上逐一完成，受影响的企业或需假以时日以恢复所有系统。

此外，部分微软用户发现将电脑重启约十五次后亦可解除问题，因为若电脑反复重启，CrowdStrike可能自行更新并在电脑崩溃前修复损坏文件。

CrowdStrike于UTC 05时27分发放内容更新，已下载更新的设备重启后将不受影响。UTC 09时45分，首席执行官乔治·库尔茨证实修复程序已被部署。

影响

此次事件影响全球。由于全球许多IT企业都使用Windows和CrowdStrike软件，因此许多商业部门都收到了中断服务的报告。分发问题更新的CrowdStrike公司拥有约24,000名客户，由于其订户多为大型企业，故实际影响电脑数目難以估量。而截至2021年，预计有47%的财富美国500强企业使用了该公司的产品。CrowdStrike在其网站上声称，它的客户包括近60%的财富美国500强公司和一半以上的财富美国1000强公司。

由於时区關係，全球受到的顯著民生影響幾乎是由東至西，先影響大洋洲和亚洲（UTC 04時即當地時間正午前後），再到欧洲（清晨6時左右），最後到美洲（剛踏入19日半夜）。其中部分国家和地区影响轻微。例如中国大陆因其不断推进科技自立，航空公司及银行等重要行业幸免于难，但个别外企及奢华酒店仍受冲击。而俄罗斯和伊朗因国际制裁导致使用美国高科技公司产品受限，故并无相关故障报告。

事件损失

据Cloud Zero的分析师预测（利用以前对假设的全球互联网中断所做的工作），事发当天上午已造成损失240亿美元；。一名英国教授预测，此次事故损失“极其巨大，可能达数十亿”英镑。

航空运输业

事故发生后，华盛顿杜勒斯国际机场的數位標牌显示蓝屏死机画面

亞洲航空乘客在印尼伍拉·賴國際機場排隊，因航空公司的報到系統故障。

全球共有5078班航班（占定期航班的4.6%）被取消。

德國柏林勃兰登堡机场和美國洛杉磯國際機場等部分大型國際機場的運作均受嚴重影響，大量航班延誤或停飛。

在大洋洲，新西兰的基督城機場也面临类似问题。澳大利亚航司澳洲航空、維珍澳洲航空和捷星航空受冲击悉尼機場发言人表示此次事件影响部分航司运营，“机场个别航班当晚可能延误”。墨爾本機場亦被波及，同时该机场在其网站发表通知称，“全球技术问题”影响值机，并建议乘客向相关航空公司咨询。坎培拉機場、達爾文國際機場、阿德萊德機場、珀斯機場、霍巴特國際機場、朗塞斯顿機場及布里斯班機場均受到冲击。

在亚洲，香港國際機場受事件影響，大批旅客排队等待人手辦理登機手續，多爲搭乘廉航香港快運航空的離港乘客。香港機場管理局称紧急预案已经启动以应对几家航空公司网站无法运行和办理登机手续需要人工操作的问题。國泰航空、香港快运航空和香港航空通知旅客，其预订系统暂不可用。部分7月20日执飞的香港快运航班被迫取消。桃園國際機場表示，全亞洲航空、台灣虎航、捷星航空、香港快運航空、濟州航空與酷航因使用Navitaire系統，報到系統無法作業，建議旅客提前3～4小時抵達機場。另外，達美航空與聯合航空因為地面停飛令暫停起飛。隔天虎航表示問題已經排除。日本航司春秋航空日本和韩国航司濟州航空受此事冲击。捷星日本航空被迫削减大量航班（绝大多数为国内航班）。新加坡樟宜机场部分自助值机设备受此影响，造成航班延误，航司被迫人工值机。同时新加坡航空和酷航报告称，7月19日全天都出现了不同程度的服务异常。受此影响，菲律宾首都马尼拉的尼诺伊·阿基诺国际机场一度大排长龙。宿霧太平洋航空和菲律宾亚洲航空的航班因其系统面临技术问题延误。在印尼，亞洲航空和連城航空的值机系统亦出现问题。

在印度，印度航空、靛蓝航空、阿卡萨航空、香料航空和塔新航空受事件影响，期间更一度签发手写登机牌。印度民用航空部要求并命令航空公司和机场在必要时提供食物和座位，同时要有同情心。印度標準時間18时14分（UTC 12时44分），全印共有超200班航班取消，其中靛蓝航空192班。不过，只有那些严重依赖Microsoft Azure提供从网站托管、预订系统到收益管理系统和离港控制系统等各种服务的航空公司才会受到影响。

土耳其航空取消了部分航班，以防止其航班运营陷入混乱。北非突尼西亞境内机场短暂陷入混乱。

在欧洲，捷克的布拉格瓦茨拉夫·哈維爾機場、匈牙利的布達佩斯李斯特·費倫茨國際機場、斯洛文尼亚的布拉提斯拉瓦機場和荷兰的阿姆斯特丹史基浦機場受此事影响。蘇黎世機場一度暂停航班降落。比利時临近布鲁塞尔首都大区的沙勒罗瓦机场的工作人员手动为乘客办理登机手续，但其他软件在10:00（UTC 08:00）之前缓解了问题，未发生严重延误。西班牙ENAIRE下辖“西班牙机场管理局”在其社交媒体及官网提及此事。所有西班牙机场都报告了险情。法國航空在周五宣布，他们的多项服务受到了技术问题的影响，尽管公司的网站和应用程序运作正常，但客户服务电话可能会中断。法国航空的技术团队正在全力解决这些问题。法國首都巴黎的巴黎夏尔·戴高乐机场和巴黎-奥利机场的值机服务均受此事影响，更一度暂停航班起降。波蘭波茲南-拉威卡機場和华沙肖邦机场的登机报道受影响，二者建议旅客在网上查询航班状态。虽然启动了应急系统，但办理登机手续的速度仍然较慢。德國首都的柏林勃兰登堡机场约于当地时间上午7时（UTC 05時）宣布，因机场运营受“外部供应商IT问题”影响，暂停服务至上午10时（UTC 08時）。虽然旅客吞吐量在一定程度上受到限制，但航班延误仍在继续，一些航班不得不被航空公司取消。在德國第二大城市汉堡机场，多家航空公司（欧洲之翼航空、瑞安航空、伏林航空和土耳其航空）被迫人工填写登机牌。克罗地亚和瑞典的空管系统因此事瘫痪。

瑞士國際航空的三成航班停航。德国的汉莎航空网站的“个人资料预订查询”功能受此事冲击。愛爾蘭廉航瑞安航空的预订及登机报道一度不可用，并“被迫取消少量航班”，同时建议旅客至少在航班出港前三小时抵达机场。匈牙利廉航維茲航空将此次事故归咎于在线服务脱机。荷兰航司荷蘭皇家航空暂停绝大多数航班运行，并宣布受事件影响航班无法运行，泛航航空亦受影响。芬兰航空报告称其向旅客寄发邮件及短信的系统出现问题。在希腊，居民和游客在主要机场遭遇严重延误，特别是雅典埃莱夫塞里奥斯·韦尼泽洛斯国际机场和伊拉克利翁尼科斯·卡赞察基斯国际机场。事发当天恰逢旅游旺季，机场一度陷入混乱，旅客被迫等待数小时才能搭乘航班。造成这种情况的因素包括工作人员严重短缺和新实施的航班时刻表。在伊拉克利翁，机场面临着更多的挑战，有八个航班被记录为有问题。机场负责人乔治·普利亚卡斯表示，目前正在人工安排航班，以减轻事件影响，但大量航班进港进一步增加了系统压力。。

多个英国机场受此冲击，例如愛丁堡機場，该机场的出港航班信息栏停摆，而蓋特威克機場的自动条码扫描系统停止运行，只能进行人工查验。。负责希思罗机场行包管理的阿玛迪斯公司（Amadeus）也遭受影响。部分航班受到影响（特别往返是英国的国际航班），而往返马恩岛的航班受影响较轻。

在北美洲，美國三家大型航空公司聯合航空，達美航空和美國航空下达停场令。已出港的航班正常运行，但没有新的航班起飞。另据美国联邦航空管理局消息，忠實航空因此事件暂时停飞。受此事件影响，全美约1500班航班取消。加拿大的蒙特利尔皮埃尔·埃利奥特·特鲁多国际机场和多倫多皮爾遜國際機場受此事冲击，波特航空全面停飞。据报道，溫哥華國際機場亦受影响，惟尚不明确是否与此次故障相关。

金融

印度支付服务中断，导致移动应用受到影响。

微软和CrowdStrike的股价因此次中断而下跌。CrowdStrike 的股价在 7 月 19 日下跌超过 11%，而微软的股价下跌不到 1%。

受影响的银行包括美国的大通银行、美国银行、富国银行、全美银行、第一資本和嘉信理财、加拿大的加拿大皇家银行和多倫多道明銀行、Capitec 银行和其他南非银行、几家以色列银行，以及菲律宾的几家银行，如中华银行、大都会银行、菲律賓土地銀行 (LandBank)、BDO、联合银行、BPI 和 PNB(菲律賓國家銀行)。Maya 和 GCash 等电子钱包在菲律宾也遇到了问题。 土耳其 DenizBank 的网站和手机银行应用程序无法访问。 Visa 受到影响。 包括新加坡交易所 (SGX) 和星展银行在内的多家新加坡公司报告称，7 月 19 日出现了不同程度的服务困难。

其他行业

毗邻波罗的海的波兰格但斯克的主要货柜码头格但斯克DCT碼頭经受了微软运营系统故障的考验，港口运行受到冲击。大部分美国船运码头幸免于难，唯有大量保障外国货轮的休斯敦港短暂停摆。

瑞典马尔伯格矿为预防风险，已疏散人员。同时，该国的足球赛门票一度停售。

由于提供学术著作永久链接的DOI（数字文献标识符）在中断期间和中断之后无法解析，全球学术界因此受到干扰。

法國

巴黎奥运组织委员会确认，他们面临重大技术问题。这些故障已经影响到认证系统，可能导致一些参与者无法及时获得徽章，同时也可能影响到运动员的航班安排。奧組委已经启动紧急计划，并表示他们将与技术团队和相关單位密切合作，尽快恢复赛事正常运行。

澳大利亚

澳大利亚商业及政府机构受此事件影响，如媒体、航司、机场、超市和银行。本次事件中受冲击的媒体机构有澳大利亚广播公司、特别广播服务电视网、七號電視網和九號電視網。受影响的航空公司有澳洲航空、維珍澳洲航空和捷星航空。悉尼機場发言人表示此次事件影响部分航司运营，机场个别航班当晚可能延误。墨爾本機場亦被波及。零售商和快餐连锁店也受到故障影响，导致自助结账和在线订单系统无法使用。顾客无法使用信用卡付款，甚至无法使用POS系統结账。受影响的超市有Woolworths超級市場和客澳市。移动银行软件，如澳洲國民銀行、澳盛銀行、澳洲聯邦銀行、本迪戈银行和新科银行因此事瘫痪。同时，由于POS系统无法工作，DFO South Wharf的店鋪受到严重干扰。聯合護理和拉姆塞醫療保健表示醫院的系統出現故障，並為患者制定應急計劃。

克罗地亚

克罗地亚中央健康信息系统和空管系统受本事件冲击。

馬來西亞

马来西亚国家网络安全机构（NACSA）发表声明指出，全球范围内的微软系统故障严重影响了马来西亚的重要部门，包括电视台、機場和銀行。此外，在吉隆坡国际机场，系统中断导致乘客办理登机手续和等待时间显著延长。

马来亚铁道公司的所有客服渠道也因全球性系统故障而受到影响。公司在其臉書（Facebook）页面上发布了一份声明，表示他们目前正在紧急修复技术问题，声明中还表达了铁道公司对造成的不便的歉意，并感谢公众的关注和耐心等待。數小時後，马来亚铁道公司在官方臉書專頁證實技術問題已得到解決。

菲律賓

菲律賓眾議院等政府網站因全球性系统故障而受到影响。首都銀行、菲律賓土地銀行、菲律賓聯合銀行、菲律賓群島銀行、菲律賓國家銀行等銀行線上系統因中斷而癱瘓。

回应

澳大利亚政府就此事举行了紧急会议，同时启动国家协调机制。總理安東尼·阿爾巴尼斯称“我知道澳大利亚人民对正在全球范围内发生的影响广泛的服务中断感到担忧。我国政府正在与国家网络安全协调机关密切合作”。，并补充道：“在现阶段，关键基础设施、政府服务或‘三零’（當地緊急求救電話）服务没有受到影响。国家协调机制已经启动，目前会议正在进行。”

俄罗斯數位通訊部於2024年7月19日表示，該國的航空公司和銀行似乎未受到微軟大規模停運的影響。該部門宣稱莫斯科抵禦西方制裁的措施，使其免於本次數位混亂。