2017年9月，技术漏洞Equifax公布了一起数据泄露事件。技术漏洞1.43亿美国人的技术漏洞姓名、社会安全号、技术漏洞出生日期、技术漏洞住址被拖走。技术漏洞事后调查发现，技术漏洞入侵者利用的技术漏洞是Apache Struts框架里一个早已公布补丁的漏洞——CVE-2017-5638。补丁发布到泄露发生，技术漏洞中间隔了整整两个月。技术漏洞两个月里，技术漏洞Equifax的技术漏洞安全团队没有完成修补。

这不是技术漏洞什么高深的国家级攻击。漏洞的技术漏洞利用代码在补丁发布后几天就出现在了网上。任何一个会复制粘贴的技术漏洞人都能用。真正的问题不在技术层面，而在人。修补一个漏洞需要跨部门协调、排期、测试、部署。流程越长，窗口越大。

我做过一段时间的渗透测试。客户大多是中型企业，每次报告里列出的高危漏洞，至少有三分之一是“已知但未修复”的。不是不知道，是修不动。一台跑了八年的老服务器，上面挂着一个内部OA系统，供应商早就停止维护了。你告诉运维去升级，他回你一句：升了业务就崩，你负责？

漏洞的本质是妥协

写代码的人都知道，没有绝对安全的系统。每一行代码都是权衡的结果。赶工期，先上线再说；预算不够，安全审计砍掉；兼容性优先，旧协议留着。这些决定单独看都合理，叠在一起就是筛子。

2014年OpenSSL的“心脏出血”漏洞（Heartbleed）是个典型。OpenSSL几乎是整个互联网的加密基石，但维护它的全职人员长期只有一两个人，年捐款额不过两千美元。一个支撑全球金融、通信、政务的底层库，穷得叮当响。漏洞不是被“发现”的，它一直在那里，只是没人有精力去看。

这暴露了一个尴尬的事实：技术的可靠性，往往取决于最不被重视的那一环。

补丁为什么追不上漏洞

漏洞披露有一套行业惯例。发现者先通知厂商，厂商开发补丁，协调公开时间。理想情况下，用户有窗口期去修补。现实是，从补丁发布到大规模利用，时间越来越短。

2019年的BlueKeep漏洞（CVE-2019-0708），影响Windows远程桌面服务。微软发布了补丁，同时警告说这个漏洞“蠕虫级”——意味着可以像WannaCry那样自动传播。结果呢？补丁发布一年多后，仍有近百万台机器暴露在公网未修补。很多人根本不知道自己的系统开着远程桌面。

攻击者不需要比防御者聪明。他们只需要比防御者快一步，或者耐心等防御者犯错。

人的漏洞最难补

技术漏洞有CVE编号，有补丁，有扫描器。人的漏洞没有。

钓鱼邮件至今是最有效的入口。一封伪装成HR的邮件，标题写着“你的薪资调整通知”，附件是个带宏的Word文档。点开，启用宏，载荷落地。整个过程不需要任何0day。2020年推特被黑，攻击者打电话给员工，冒充IT部门，拿到了内部管理工具的凭证。几个小时后，奥巴马、比尔·盖茨、马斯克的账号开始发比特币诈骗链接。

你可以部署EDR、防火墙、零信任架构。然后一个员工在凌晨三点把验证码念给了电话那头的人。

没有终局

我见过一家公司，安全团队每周发漏洞修复排行榜，按部门排名，抄送高管。修复率从60%涨到了95%。办法不复杂：让不修漏洞这件事变得难堪。技术问题有时候得用组织手段解决。

但永远会有下一个Equifax，下一个Heartbleed。系统越复杂，依赖越多，缝隙就越多。漏洞不会消失，它只是在等一个没人看的时刻。

(责任编辑：热点)