永恒之蓝漏洞补丁官方

2017年5月12日，永恒一个普通的漏洞周五。英国一位叫达里恩的补丁年轻医生刚值完夜班，打开电脑准备写病历——屏幕上弹出一张红色窗口，官方要求支付价值300美元的永恒比特币。他所在的漏洞医院有三分之一的电脑都中了同样的招。那天下午，补丁全英国有超过40家医疗机构被迫停诊，官方手术取消，永恒救护车改道。漏洞这不是补丁电影情节，是官方"永恒之蓝"勒索病毒的真实开场。

这个病毒利用的永恒是Windows系统里一个叫SMB协议的漏洞。简单说，漏洞就是补丁Windows共享文件用的那个通道。美国国家安全局（NSA）早就发现了这个漏洞，但没告诉微软，而是自己写了个攻击工具叫"永恒之蓝"，留着当网络武器用。2017年4月，黑客组织"影子经纪人"把这套工具偷出来公开了。一个月后，有人拿它改造成了勒索病毒WannaCry。

微软的反应其实不慢。2017年3月14日，在漏洞公开前，微软就发布了补丁MS17-010，专门修复这个SMB漏洞。但问题在于——太多人没打补丁。
我查过一组数据：WannaCry爆发时，全球仍有超过100万台电脑运行着未打补丁的Windows 7和Windows Server 2008。国内不少高校的机房、医院的旧系统、政府部门的办公电脑，都在这波攻击里中招。中石油的加油站断网，公安部的出入境系统瘫痪，这些新闻当时都上了头条。

微软后来做了件挺罕见的事。2017年5月13日，他们破例为已经停止支持的Windows XP和Windows Server 2003发布了紧急补丁。要知道，XP的官方支持早在2014年就结束了。这个决定说明事态有多严重——全球还有大量关键基础设施跑在XP上，不打补丁就等着被反复感染。

补丁编号是KB4012598（XP/2003）和KB4012212（Win7/2008 R2）等。下载渠道就两个：Windows Update自动推送，或者去微软官网的Microsoft Update目录手动搜。我建议后者，因为很多内网机器根本连不上外网更新服务器。手动下载后拷到U盘里，一台台装，虽然笨但管用。

有个细节值得说：打补丁只是堵住"永恒之蓝"这一个漏洞。WannaCry还用了其他手段横向移动，比如通过局域网共享传播。所以光打补丁不够，还得关掉不必要的SMB端口（445端口），在防火墙里设规则。很多单位的网管当时连夜加班，就是在做这两件事。

我自己的观察是，这件事暴露了一个长期问题：关键行业的IT系统太旧了。医院用XP是因为医疗设备厂商的软件只兼容XP，升级要花大钱；学校机房用盗版Win7是因为预算不够。安全补丁不是装不上，是没人装、没动力装。WannaCry之后，国内才开始大规模推动等级保护2.0，要求定期打补丁、做漏洞扫描。算是用一场灾难换来的教训。

现在去微软官网搜"MS17-010"，还能找到当年的安全公告。补丁下载链接也还在。如果你手里还有老系统在跑，别犹豫，打上。别等红色窗口弹出来再后悔——那时候文件已经被加密了，付比特币也不一定救得回来。