一个没打补丁的漏洞漏洞能值多少钱？2017年，WannaCry勒索病毒给了个参考答案：150个国家、有危30万台电脑、漏洞数十亿美元损失，有危而它利用的漏洞只是Windows系统里一个已经被微软发布补丁两个月的漏洞——MS17-010。换句话说，有危那次全球灾难，漏洞本可以避免。有危两个月的漏洞时间窗口，足够大多数企业完成更新，有危但现实是漏洞，大量机器仍然裸奔。有危

这就是漏洞漏洞最直接的危害：它把本该属于你的控制权，交到了别人手里。有危攻击者不需要多高明，漏洞只要比你快一步就行。

数据丢了，可能就真的找不回来了

很多人对漏洞危害的理解停留在“电脑中毒”层面，觉得重装系统就完事了。但事情没这么轻松。2021年，美国科洛尼尔管道公司被勒索软件攻击，攻击入口就是一个未修复的VPN漏洞。结果呢？输油管道直接停运六天，美国东南部地区出现燃油短缺，加油站排长队，航空公司临时调整航班。一家能源基础设施公司，因为一个VPN漏洞，让半个国家的汽油供应出了问题。

数据泄露的后果更隐蔽，也更持久。2017年Equifax信用评级机构被攻破，1.47亿人的个人信息泄露，包括社保号、驾照号、信用卡信息。漏洞出在Apache Struts框架上，补丁已经发布了好几个月，但Equifax没装上。最终赔偿金额超过7亿美元。这些数据一旦流出去，就永远收不回来了。被泄露的人这辈子都得提防身份盗用。

钱没了还是小事，命可能也没了

漏洞不止影响电脑里的数据。2015年，两位安全研究员远程攻入了一辆Jeep切诺基的CAN总线，控制了刹车、转向和油门。克莱斯勒紧急召回140万辆车。想象一下，如果这种攻击被用在高速公路上，后果是什么。医疗设备同样脆弱。胰岛素泵、心脏起搏器、CT机——这些设备里跑的往往是老旧的嵌入式系统，漏洞多到安全研究员看了直摇头。2019年，美国FDA就曾紧急召回某款胰岛素泵，因为攻击者可以远程改变输注剂量。

工业控制系统更让人捏把汗。震网病毒（Stuxnet）当年就是利用四个零日漏洞，破坏了伊朗纳坦兹核设施的离心机。这是漏洞从数字世界打到物理世界的经典案例。一个代码缺陷，能让上千台精密设备同时报废。

信任崩了，比系统崩了更难修

企业被漏洞攻击后，最致命的往往不是技术层面的损失。消费者会问：你连自己的系统都保护不了，我怎么放心把数据交给你？2013年Target超市被黑，4000万张信用卡信息泄露，CEO和CIO先后辞职，公司利润暴跌46%。信任这东西，建立需要十年，崩塌只需要一条新闻。

对个人来说也一样。你的邮箱密码、聊天记录、照片、银行账户——这些东西被泄露一次，你就得花几个月甚至几年去善后。改密码、冻结账户、跟银行客服扯皮、向征信机构申诉。时间成本高得离谱，而且很多麻烦是不可逆的。

有些漏洞，永远补不上

更让人无奈的是，很多系统根本没法打补丁。医院里还在跑Windows XP的CT机、工厂里用了十五年的PLC控制器、航天领域那些定制化的嵌入式芯片——厂商早就不提供支持了，补丁也不存在。这些系统就像定时炸弹，只能靠网络隔离来续命。但隔离从来都不是绝对安全的，U盘、内部人员误操作、供应链攻击，随便哪个口子都能撕开防线。

漏洞的危害之所以被低估，是因为很多人觉得“我不会那么倒霉”。但攻击者从来不是随机撒网，他们扫描的是整个互联网，谁没打补丁就找谁。你的系统有漏洞，就等于在门口挂了块牌子：欢迎光临。