软件厂商没有进行修复的漏洞叫什么漏洞

一个软件厂商知道漏洞存在，软件但迟迟不发布补丁，厂商这种漏洞在安全圈里有个专门的进行称呼：N-day漏洞。听着有点反直觉，修复对吧？漏洞叫洞明明漏洞还活着，厂商却没动手，什漏却叫“N-day”。软件这名字其实是厂商从“零日漏洞”（0-day）延伸来的——漏洞被公开的那一天算“第零天”，之后每过一天，进行就加一个数字。修复第1天、漏洞叫洞第30天、什漏第300天，软件只要厂商没修，厂商它就一直挂在N-day的进行标签下。

举个例子。去年某国产办公软件爆出一个远程代码执行漏洞，攻击者发个恶意文档就能控制整台电脑。漏洞细节被安全研究员公开后，厂商的官方回复是“已知晓，正在评估”。结果呢？三个月过去，补丁没影。安全社区里有人做了个统计，这个漏洞在野外被利用的次数超过两千次。你说厂商不知道？他们知道。但修复排在产品迭代的后面，优先级低得可怜。这种漏洞，就是典型的N-day——公开了，确认了，就是不修。

为什么厂商不修？原因五花八门。有时候是技术债太重，老代码里改一行能崩三个模块，修复成本比漏洞本身还高。有时候是商业考量，新功能卖钱要紧，安全补丁不产生直接收益，排期自然靠后。还有些情况更尴尬——漏洞涉及的组件是第三方买的，厂商自己也没源码，想修都无从下手。我在一次安全会议上听某甲方安全负责人吐槽，他们报给供应商的漏洞，对方回复“此问题将在下一代产品中彻底重构”，言下之意：这代产品你就忍着吧。

这里有个关键点容易混淆：N-day不等于“没人管的漏洞”。有些漏洞虽然厂商没修，但第三方（比如开源社区、独立安全团队）会出临时补丁或缓解方案。真正的危险在于，攻击者也在盯着N-day。他们不需要像挖0-day那样花高价买情报，直接分析公开的漏洞细节，写个利用脚本就能批量打。很多APT组织的武器库里，存的就是这种“老而弥坚”的N-day——因为总有企业没打补丁，总有系统暴露在公网。

更讽刺的是，有些厂商故意不修，等着用户自己升级到付费版本。我一个做运维的朋友遇到过这种事：他们用的某款路由器固件有个命令注入漏洞，厂商客服明确说“这个问题只在旧版本存在，建议购买我们的新款设备”。朋友气得直骂——旧设备卖了那么多，说不管就不管。后来他们只能自己写防火墙规则，硬生生把那个端口封了。这种漏洞，你说它叫N-day也好，叫“商业策略漏洞”也罢，反正受害的是用户。

所以，当你听到“N-day漏洞”这个词时，别以为它只是“已知漏洞”的同义词。它背后是厂商的责任心、商业逻辑和用户风险的复杂博弈。有些N-day会随着时间慢慢被修复，有些则永远躺在厂商的待办事项里，直到产品停产那天。作为用户，你能做的只有一件事：别以为厂商会替你操心，关键系统上的漏洞，自己盯紧点。