“Zero-Day”这个词第一次出现在我视野里，网络是漏洞2016年某个凌晨。一个做安全的英文朋友发来消息，说某厂商路由器固件里藏了个后门，网络从提交记录看至少存在了三年。漏洞他用的英文词是“zero-day”，我当时还以为是网络某种倒计时攻击。后来才搞明白，漏洞所谓“零日”指的英文是厂商自己都不知道的漏洞——发现者手里的利用代码比补丁早出生，所以叫“零日”。网络

英文里这类词挺有意思。漏洞Vulnerability、英文Exploit、网络Patch，漏洞三个词经常被混着用，英文但指向完全不同。Vulnerability是墙上那道裂缝，Exploit是撬棍，Patch是水泥。你光有裂缝没撬棍，顶多算个隐患；撬棍挥出去了，才叫攻击。很多新闻标题写“某系统存在高危漏洞”，其实说的只是裂缝，离真正被撬开还有距离。不过这个距离在自动化工具面前，有时候短得吓人。

我印象最深的一次，是2017年WannaCry爆发那会儿。周五晚上，朋友圈里先是几个人说电脑文件被加密，后缀变成.WNCRY。周六早上醒来，英国NHS系统瘫痪、德国铁路显示屏被锁、国内高校实验室批量中招。那个漏洞叫EternalBlue，是美国NSA先发现的，后来被影子经纪人泄露出来。微软其实在两个月前就发了补丁，但太多机器没打。一个已经修补的漏洞，照样掀翻了全球二十多万台设备。这件事说明什么？漏洞的英文是vulnerability，但真正致命的是patch management——补丁管理。你墙上裂缝补了，可有人没补，撬棍就还能从那儿捅进来。

再说说“CVE”。这个缩写全称是Common Vulnerabilities and Exposures，翻译过来叫“通用漏洞披露”。每个确认的漏洞会分配一个编号，比如CVE-2021-44228，就是臭名昭著的Log4Shell。这个编号系统本身没什么技术含量，但它让漏洞有了身份证。以前大家各叫各的，你说“那个Apache的远程执行”，我说“Log4j那个JNDI注入”，对不上号。有了CVE，安全研究员、厂商、媒体至少在用同一个名字吵架。我查过CVE官网，2023年一年新增了两万八千多个编号。平均每天七十多个。你睡一觉起来，世界上就多了七十多个已知裂缝。

但编号多不代表都危险。CVSS评分从0到10，9.8分的漏洞和3.1分的漏洞，处理优先级天差地别。问题是评分本身也常被质疑。Log4Shell刚出来时CVSS给了10分满分，后来有人指出利用需要特定条件，实际风险没那么绝对。可当时谁顾得上细看？运维半夜爬起来打补丁，打完了才发现有些系统根本不走Log4j。英文里有个词叫“FUD”——Fear, Uncertainty, Doubt，恐惧、不确定、怀疑。安全圈靠FUD吃饭的人不少，一个漏洞能炒出十个漏洞的动静。

说回零日。真正值钱的零日漏洞，在黑市上能卖到几十万甚至上百万美元。iOS的零日尤其贵，因为苹果设备难攻破，而且攻破之后能拿到的东西多。有个叫Zerodium的公司公开收零日，明码标价。他们收安卓零日最高出价250万美元，iOS的更高。这生意逻辑很直白：你发现裂缝，别声张，卖给我，我转手卖给需要撬棍的人。至于买家是谁，公司不说。这种买卖合法吗？在大多数国家不违法，因为漏洞本身不是武器，利用代码才是。但灰色地带大得能开进一艘航母。

我有时候想，漏洞英文叫vulnerability，词根是vulnerare，拉丁语里“伤害”的意思。墙上有裂缝，风就能灌进来。但裂缝不是墙的错，墙本来就在那儿。错的是有人拿着撬棍，还专挑没补的地方下手。补丁永远追不上新裂缝，这是场没有终点的赛跑。你唯一能做的，是别当那个用着三年前固件还觉得自己挺安全的人。