漏洞叫什么？漏洞叫这个问题听起来像是个玩笑，但真不是漏洞叫。我上周刚在自家路由器上撞见一个，漏洞叫它有个正经名字——CVE-2023-25690，漏洞叫一个Apache HTTP Server的漏洞叫路径穿越漏洞。但我更愿意叫它“后门没锁”。漏洞叫

那天晚上，漏洞叫我闲着没事，漏洞叫想看看家里那台老路由器的漏洞叫固件有没有更新。登录管理界面，漏洞叫翻到日志，漏洞叫突然发现一条奇怪的漏洞叫记录：某个IP在凌晨三点，连续尝试访问`/../../../etc/passwd`。漏洞叫这不是漏洞叫我干的，也不是漏洞叫我家人。那一刻，我后背有点发凉。

漏洞这东西，名字越正式，越容易让人麻痹。CVE编号、CVSS评分、补丁版本号——安全公告写得像说明书，但没人告诉你，它真正危险的地方在于“你以为你没事”。那台路由器，厂商早就停止维护了，固件停留在两年前。我查了一下，这个漏洞在官方文档里被标记为“高危”，但我的设备不在支持列表里。所以呢？漏洞叫什么不重要，重要的是它有没有人管。

我有个朋友在安全公司做渗透测试，他跟我说过一句糙话：“漏洞不是被发现的，是被人撞上的。”他接过一个单子，客户是一家电商公司，防火墙、WAF、入侵检测全套上齐，结果被一个SQL注入打穿了。那个注入点藏在一个老旧的搜索框里，代码是七八年前的，连参数过滤都没做。他们扫了三个月，愣是没发现，因为常规扫描器只测新路径，老页面早被遗忘了。你说这漏洞叫什么？叫“遗忘”。

更讽刺的是，有些漏洞有名字，但没人当回事。还记得心脏滴血吗？OpenSSL那个，2014年爆出来的时候，全球一半以上的HTTPS服务器都中招。可直到今天，我偶尔还能在公网上扫到暴露的旧版本服务。漏洞叫什么？叫“侥幸”。大家都觉得“不至于轮到我”，可攻击者恰恰就爱挑这种心态下手。

我自己也犯过这毛病。前年搭了个个人博客，用的是某个轻量级CMS，装了个第三方插件。后来插件作者跑路不更新了，我嫌麻烦没换。直到有一天，我收到一条服务器告警——有人通过那个插件的文件上传漏洞，塞了个webshell进来。我登录一看，好家伙，文件躺在根目录里，名字叫`shell.php`，后缀还带个空格，就是为了绕过某些过滤。我当时哭笑不得。这漏洞叫什么？叫“懒”。

所以别问漏洞叫什么，要问它为什么在。每个漏洞背后，要么是一段没删干净的代码，要么是一个没补上的更新，要么是一份“应该没问题”的侥幸。它们不是抽象的技术名词，是你我日常里那些“先放着吧”的瞬间。

那晚我把路由器拔了，换了个新的。旧的那台扔进抽屉，标签上写着“有漏洞”。但我知道，真正的问题不在那台设备上，而在所有觉得“漏洞只是个名字”的人心里。