Google 近日修复了一项严重安全漏洞。该漏洞允许攻击者匿名利用官方工具从搜索结果中移除任意 URL，且无需承担责任。此漏洞曾被用于恶意删除竞争对手页面以破坏其排名。尽管 Google 自 2023 年起已知悉该问题，但直至近期才完成修复。
“移除过时内容”工具遭滥用
据自由媒体基金会报告，某科技 CEO 曾通过法律诉讼、行政施压及 DMCA 下架请求等手段试图审查负面报道。在相关诉讼胜诉后，涉事文章仍在线发布，却因有人滥用 Google “移除过时内容”工具而被从索引中清除。
虽然站长可通过 Google Search Console（GSC）恢复网页，但滥用行为持续发生。社区反馈显示，攻击者选取原文中已不再使用的词汇作为依据，谎称文章过时并提交移除申请。受害者表示，多篇核心文章因此被移除，搜索标题与站点名称均无结果，但在 GSC 后台显示为“批准”状态；手动取消请求后，文章虽可短暂恢复，但随即再次被移除。
数百篇文章遭恶意去索引
此次针对网站的激进攻击暴露了 Google 防御机制的缺失，导致用户处于被动局面。受害方透露，每周有数十个页面被去索引，团队需每日检查 GSC 并手动恢复内容。截至目前，已有超过 400 篇正常在线的文章因他人提交公开移除请求而从搜索结果中消失。
Google 确认漏洞并承诺调查
针对社区关于防范措施的询问，Google 员工 Danny Sullivan 坦言，目前缺乏针对此类移除行为的阻止机制。他随后回应称，“移除过时内容”工具本意是处理下线链接或更新陈旧摘要，Google 将对此展开进一步调查。
大小写敏感机制成攻击突破口
初期分析认为攻击源于内容词语变化，后续发现核心在于 URL 大小写机制。Google 的移除工具对 URL 大小写敏感：若提交的 URL 包含大写字母，爬虫仅检查大写版本；一旦服务器返回 404 错误，系统将移除该 URL 的所有变体。
自由媒体基金会指出，攻击者正是利用了这一特性。他们提交一个与目标文章相似但指向 404 页面的大写 URL 请求，触发系统的不区分大小写匹配逻辑，导致合法文章被连带移除。理论上，网站管理员可通过强制全站小写 URL 并重写大写请求来规避此风险，但这并非根本解决方案。
漏洞已修复，受影响站点已恢复
Google 已向自由媒体基金会确认，该漏洞确实影响了部分其他网站。官方表示，受影响的站点范围较小且均已恢复正常收录。目前，Google 已通过邮件正式通知该漏洞已被彻底修复。