还没有进行修复的漏洞叫什么

零日漏洞（Zero-day）——这个词在安全圈里被念叨了二十年，还没却依然让无数运维人员夜不能寐。有进它指的行修是厂商尚未知晓、自然也没有补丁可用的漏洞安全缺陷。攻击者抢在厂商修复之前利用它，还没那这段“空窗期”就是有进零日窗口。窗口一旦被利用，行修后果往往很难收拾。漏洞

我见过最典型的还没例子是2017年的Equifax数据泄露。黑客利用的有进是Apache Struts框架里的一个漏洞，编号CVE-2017-5638。行修这个漏洞公布后，漏洞官方其实很快就发了补丁，还没但Equifax内部没及时更新。有进结果呢？行修1.43亿美国人的姓名、社保号、驾照信息被拖走。事后调查发现，他们内部扫描工具明明已经标记了风险，可负责打补丁的团队居然因为“邮件没看到”而错过了窗口期。这算不算零日？严格意义上不算——补丁已存在，只是没人去装。但这个案例暴露了一个更扎心的事实：大量所谓“漏洞”其实不是技术问题，而是流程和人性的漏洞。

真正的零日漏洞，比如2019年iOS的“三叉戟”漏洞链，攻击者能通过一条iMessage链接直接越狱手机，苹果完全不知情。这种漏洞在黑市上能卖到百万美元级别。但有意思的是，绝大多数零日漏洞最终并非被“国家级黑客”使用，而是被勒索软件团伙捡去当敲门砖。2021年Microsoft Exchange Server的ProxyLogon漏洞，从被公开到被大规模利用，中间只隔了不到一周。那段时间，全球有超过25万台服务器暴露在公网，很多小公司连日志都没开，被入侵了都不知道。

现实是，漏洞永远修不完。你以为打上补丁就安全了？2022年Log4j2的漏洞（Log4Shell）让整个Java生态抖了三抖。这个库被嵌在无数企业应用里，很多系统甚至不知道自己用了它。补丁出了，但没人知道该给谁打。更讽刺的是，有些系统已经停止维护，厂商根本不会出补丁——这类漏洞叫“永不过期的零日”。它们静静地躺在旧路由器、老旧医疗设备、工控系统里，像定时炸弹。

所以，回到题目：还没有进行修复的漏洞叫什么？它不叫“零日”，它叫“默认状态”。 大多数组织里，漏洞的寿命远超你的想象。根据Verizon的数据泄露报告，60%的入侵事件利用了已知漏洞，而这些漏洞里又有超过一半在一年前就有补丁可用。换句话说，真正“未知”的漏洞只是少数，多数问题是你我知道、厂商也知道，但没人动手修。

为什么？因为修复有成本。打补丁可能导致业务中断，需要测试兼容性，需要申请变更窗口，需要背锅。于是漏洞就像墙角的灰尘——你看得见，但懒得扫，直到某天有人拿它当撬棍。安全圈有句老话：“漏洞不是被修复的，而是被遗忘的。” 这话有点极端，但方向没错。真正有效的做法不是追求“零漏洞”，而是缩短“暴露时间”——从漏洞公开到完成修复的时间越短，被利用的概率就越低。可惜，很多企业的这个时间是以“月”为单位计算的。

下次你听到“零日漏洞”这个词，别光顾着紧张。先问问自己：我自己的系统里，有多少已知漏洞已经躺了三个月以上？那些才是更可能让你上新闻的东西。