漏洞零元购

我上个月刚把公司一台测试服务器的漏洞零元漏洞报告提交上去，结果安全团队回了一句"已知问题，漏洞零元暂不修复"。漏洞零元三天后，漏洞零元那台机器被挖矿程序占了CPU，漏洞零元账单来了三千美元。漏洞零元

这年头，漏洞零元漏洞修复居然成了奢侈品。漏洞零元厂商们算盘打得噼啪响：修一个漏洞要排期、漏洞零元要测试、漏洞零元要发补丁，漏洞零元万一补丁再把系统搞崩了，漏洞零元那损失可比被黑客捅两刀还疼。漏洞零元于是漏洞零元"已知问题"成了万能挡箭牌，安全公告栏里躺着一排排高危漏洞，漏洞零元像超市货架上快过期的罐头，标签写着"可正常食用"，但没人敢真打开。

有意思的是，漏洞交易市场倒是红火得很。暗网上一个零日漏洞能卖到几十万美元，比正经程序员年薪还高。我认识个白帽子，专门挖企业级软件的漏洞，挖到了不报给厂商，直接挂到中介平台拍卖。他说得实在："报给厂商，他们给你发张感谢信，运气好送件T恤。卖出去，够我付半年房贷。"

厂商们也不是没对策。微软搞了个"赏金计划"，单个漏洞最高能拿二十五万美元。谷歌更狠，Chrome浏览器漏洞直接按严重程度明码标价。但问题在于，这些赏金只覆盖自家产品——那些用开源组件拼出来的系统呢？那些停止维护的老旧设备呢？没人管。工业控制系统里跑着Windows XP的医院，ATM机上还插着USB接口的银行，它们就像没上锁的自行车，小偷路过都不好意思不顺手牵羊。

最讽刺的是"漏洞零元购"这个词本身。去年某知名云服务商曝出个严重漏洞，攻击者可以白嫖所有客户的数据库。安全研究员发现后通知厂商，厂商说"已有人在利用，但我们还没准备好补丁"。结果那周内，至少有四个黑客组织在暗网论坛上公开了利用教程，标题写着"免费午餐，手慢无"。等厂商终于憋出补丁时，数据泄露的损失已经以亿为单位计算了。

我盯着那台被挖矿的服务器账单，突然想明白了一件事：漏洞不是技术问题，是经济学问题。只要修复成本高于被攻击的损失，厂商就会选择躺平。而黑客们早就参透了这个逻辑——他们专挑那些"不值得修"的漏洞下手，因为知道厂商会装死，用户会裸奔。

后来我学乖了，自己给那台服务器加了条防火墙规则，把可疑IP全封了。虽然治标不治本，但至少下个月账单能好看点。至于那些还在等厂商发善心的同行，我只能说——自求多福吧，毕竟在漏洞这行当里，最贵的从来不是修复，而是侥幸。