2017年5月12日，漏洞必须WannaCry勒索病毒横扫全球。漏洞必须英国国家医疗服务体系（NHS）超过三分之一的漏洞必须医院被迫停诊，手术取消，漏洞必须救护车改道。漏洞必须事后调查发现，漏洞必须漏洞早在两个月前就被微软修补了——MS17-010补丁。漏洞必须那些中招的漏洞必须机器，绝大多数只是漏洞必须没打补丁。

这不是漏洞必须技术问题。这是漏洞必须人的问题。

我做过几年企业内网运维。漏洞必须最头疼的漏洞必须事不是攻防对抗，是漏洞必须追着各部门打补丁。财务说系统重启会影响月底结算，漏洞必须生产说工控机不能随便动，行政干脆不回邮件。一个高危漏洞的修复周期，在我们那家中型公司平均是47天。微软每月第二个周二发补丁，黑客盯着日历比我们还准。

漏洞这东西，本质上是时间差。代码是人写的，人就会犯错。一行边界检查写反了，一个内存地址没释放干净，攻击者就能顺着这条缝钻进来。软件越复杂，缝越多。Windows 10大概有5000万行代码，Linux内核超过2700万行。指望这些代码零缺陷，跟指望长江里没有一滴脏水差不多。

但真正致命的不是漏洞存在，是它被知道的方式。安全研究员发现漏洞，通常会通知厂商，给90天修复期，然后公开细节。这个行业惯例叫“负责任披露”。可攻击者不守规矩。他们要么自己挖，要么在黑市上买。一个能远程执行代码的Windows零日漏洞，暗网报价能到250万美元。防御方拿到补丁的时候，攻击方可能已经用了好几个月。

2010年震网病毒瘫痪伊朗离心机，用的是四个Windows零日漏洞。2016年孟加拉国央行被窃8100万美元，攻击者靠的是一台没有更新补丁的SWIFT终端。去年我帮一个朋友看他的小公司网络，路由器固件还是2019年的版本，后台密码是admin/admin。我问他为什么不改，他说“能用就行”。

这种心态太普遍了。人天生对看不见的风险迟钝。漏洞不像火灾，没有浓烟和火光。它安静地躺在那里，直到某天凌晨三点，你的服务器开始往外发垃圾邮件，或者数据库里多了一条勒索留言。

更麻烦的是，漏洞会繁殖。一个底层库出了漏洞，所有依赖它的软件都得跟着打补丁。Log4j那次，全球数百万个Java应用受影响。很多公司根本不知道自己用了Log4j——它藏在某个第三方组件里，像一根埋在墙里的水管，漏水了才发现墙是湿的。

我现在的习惯是：看到补丁就装，不管它重不重要。重启麻烦五分钟，不重启可能麻烦五个月。漏洞必须修，不是因为一定会被利用，而是因为攻击面越小，你晚上睡得越踏实。这个道理，跟出门锁门一样简单。锁挡不住专业小偷，但能挡住顺手牵羊的人。而互联网上，顺手牵羊的人多到你想不到。

WannaCry爆发后，微软罕见地给已经停止支持的Windows XP发了补丁。但有多少人装了呢？一年后，同一个漏洞的变种还在感染机器。你看，漏洞必须修，可人总是觉得“下次再说”。