Windows Server 2016 本身在默认安装状态下，包含并不包含“永恒之蓝”漏洞。永恒这个漏洞的漏洞编号是 MS17-010，影响的包含是 Windows 的 SMBv1 协议实现。微软在 2017 年 3 月发布了针对该漏洞的永恒补丁，而 Windows Server 2016 在 2016 年 10 月正式发布，漏洞所以它的包含原始安装镜像里确实存在这个漏洞。但只要你装完系统后连上 Windows Update 打齐补丁，永恒或者手动安装 KB4013429 及后续累积更新，漏洞这个漏洞就被堵上了。包含

我手里有一台测试用的永恒 Server 2016，装完系统后没联网，漏洞直接用漏扫工具扫了一下，包含MS17-010 的永恒检测项红得刺眼。当时我就想，漏洞这要是放在 2017 年 4 月之前，这台机器就是“永恒之蓝”的活靶子。后来我把网线插上，Windows Update 自动下载了 2018 年 1 月的累积更新，再扫，漏洞项没了。整个过程不需要什么特殊操作，就是正常打补丁。

很多人把“系统版本包含漏洞”和“系统默认开启漏洞利用条件”搞混了。Server 2016 确实在初始版本里带有 SMBv1，而且默认启用。SMBv1 是“永恒之蓝”利用的协议，但光有协议不够，还得系统没打补丁。微软在 2017 年 3 月补丁里修复了 SMBv1 的远程代码执行问题。所以一台 Server 2016 是否“包含”永恒之蓝，取决于你什么时候装、装完有没有更新。

我见过一些内网环境，Server 2016 装完就扔在那儿，从来不连外网，补丁靠离线包。结果离线包只打到 2016 年底，那这台机器就仍然带着 MS17-010。攻击者一旦进入内网，用 EternalBlue 的利用工具照样能打进去。这不是 Server 2016 的错，是补丁管理的问题。微软后来在 2017 年 5 月还专门为已经停止支持的 Windows 版本发布了补丁，可见这个漏洞的影响面有多广。

另一个容易忽略的点：Server 2016 的 SMBv1 默认是启用的，但你可以手动关掉。关掉 SMBv1 之后，即使系统没打补丁，“永恒之蓝”的利用链也会断掉，因为漏洞触发依赖 SMBv1 的特定请求处理逻辑。我自己的做法是，新装 Server 2016 后第一件事就是禁用 SMBv1，然后打补丁，最后再考虑要不要启用 SMBv2 或 SMBv3。禁用 SMBv1 的命令很简单，PowerShell 里一行：Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol。重启后生效。

有人会问，那 Windows Server 2016 之后的版本呢？Server 2019 和 2022 默认已经不再安装 SMBv1 客户端，但 SMBv1 服务端组件在某些角色里仍然存在。微软从 2017 年开始逐步淘汰 SMBv1，但为了兼容老设备，很多系统还是保留了。所以“是否包含永恒之蓝”这个问题，不能只看系统名字，得看具体补丁级别和 SMBv1 的状态。

我个人的判断是：如果你现在拿到一个原版的 Server 2016 ISO，不联网、不打补丁，那它就是一个带有 MS17-010 漏洞的系统。但如果你按正常流程部署，连上更新服务器，打完所有补丁，再禁用 SMBv1，那它跟“永恒之蓝”就没关系了。真正危险的是那些长期不更新、又开着 SMBv1 的内网服务器。我见过一家小公司的文件服务器，Server 2016，三年没打补丁，SMBv1 开着，结果被勒索软件加密了所有共享文件。事后查日志，攻击入口就是 EternalBlue。所以别纠结系统版本本身，盯住补丁和协议配置才是正事。