2017年5月12日，系统英国国民健康服务体系（NHS）的漏洞电脑屏幕集体亮起红色勒索界面。手术被迫取消，致使救护车被转往其他医院，黑客害急诊室陷入混乱——攻击者利用的入侵不过是Windows系统一个早已被微软修补的漏洞，但医院内大量老旧电脑从未更新补丁。系统这场名为WannaCry的漏洞蠕虫病毒，在一天之内横扫150个国家，致使造成数十亿美元损失。黑客害而它侵入系统的入侵第一步，就是系统找到那些没人修补的“门缝”。

系统漏洞就像房子外墙的漏洞裂缝。你平时看不见它，致使但黑客看得见。黑客害他们用扫描工具在互联网上批量探测开放端口，入侵像小偷挨家挨户试门把手。一旦发现某个系统没打补丁，就顺手把恶意代码塞进去——整个过程可能只需几秒钟，不需要任何高超技巧。

更麻烦的是，漏洞往往不是孤立的。一个看似无关紧要的小缺口，可能成为攻击者深入内部的跳板。2013年Target超市的数据泄露事件就是典型案例：黑客先攻破了一家空调供应商的终端，然后通过供应商与Target共用的网络端口，一路摸到POS机系统，最终窃取了4000万张信用卡数据。整个过程持续数周，期间Target的安全团队多次收到警报，但都当作误报处理了。

漏洞危害的可怕之处在于它的“延迟效应”。很多公司以为漏洞修补是IT部门的事，拖几天没关系。但黑客的时间表恰恰相反——他们会在漏洞公开后迅速开发利用工具，留给企业修补的时间窗口通常只有48到72小时。一旦错过，系统就变成敞开的大门。2019年，美国佐治亚州某个小城市的政府网络被勒索软件瘫痪，官员们花了整整两周才发现，攻击入口是三个月前就该修补的一个VPN漏洞。

这让我想起一个做安全运维的朋友说过的话：“漏洞不是技术问题，是管理问题。”他所在的公司每年做两次渗透测试，每次都能发现十几个高危漏洞，但业务部门总以“影响系统运行”为由拖延修补。直到有一次，攻击者真的进来了，在服务器里潜伏了四十多天，把数据库里的客户信息全部拖走——公司因此赔了上千万，品牌信誉毁了，几个核心客户也流失了。那个漏洞，恰好是技术部门半年前就提交过修补方案的。

现实就是这么讽刺：黑客入侵从来不是因为他们技术多高明，而是因为系统主人对已知漏洞视而不见。每个漏洞都是一张写着你名字的“邀请函”，你决定收不收，决定什么时候收——但黑客不会等你准备好才动手。他们只会在你关上门之前，把脚伸进来。