装完某个来路不明的电脑"系统优化大师"之后，你的软件浏览器主页被锁死了。改注册表？漏洞它给你改回来。卸载？电脑卸载按钮是灰的。这种事我遇到过不止一次，软件每次都想把开发这玩意的漏洞人揪出来问问，你写代码的电脑时候良心不会痛吗。

软件漏洞分两种。软件一种是漏洞无意的，程序员写代码时考虑不周，电脑留下了可以被利用的软件缺陷。另一种是漏洞故意的，功能本身就是电脑"漏洞"，比如那些流氓软件故意留的软件后门。前者还能原谅，漏洞后者纯粹是坏。

普通用户遇到漏洞，第一反应往往是"等官方修复"。这个思路没错，但问题是——你永远不知道官方什么时候修，甚至不知道他们会不会修。2021年Log4j那个漏洞爆出来的时候，全球的运维半夜爬起来打补丁，那叫一个兵荒马乱。你要是等着别人来救你，黄花菜都凉了。

我的习惯是：先判断这个漏洞的影响范围。如果只是某个小工具的问题，直接卸载换一个。如果是系统级组件出了毛病，那就得认真对待。Windows的话，先把自动更新打开，别嫌它烦。很多人关掉更新是因为怕重启，但你想想，是重启麻烦，还是被挖矿病毒吃满CPU麻烦？

浏览器漏洞最阴险。你什么都没干，就打开了一个网页，木马就进来了。这种叫"驱动下载"攻击，防不胜防。我的做法是浏览器永远保持最新版，Chrome和Firefox的更新频率够高，基本能覆盖已知漏洞。另外装个uBlock Origin，很多恶意广告直接被拦在门外，减少暴露面。

有些漏洞是配置问题，不是代码问题。比如默认密码没改、远程端口对外开放、数据库没设访问权限。这类"漏洞"其实最好解决，但偏偏最多人中招。我见过一个哥们儿，服务器上跑着Redis，连密码都没设，端口直接暴露在公网上。结果被人写了挖矿脚本，CPU跑满了一个月才发现。你说这怪谁？

补丁管理是个体力活。我自己的做法是用一个表格记录常用软件的版本号和更新日期，每周花十分钟检查一遍。听起来很笨，但管用。那些自动更新工具我也用过，有时候会漏掉一些冷门软件，还是得自己盯着。

手机上的漏洞同样不能忽视。安卓碎片化严重，很多厂商半年都不推一次安全更新。你要是用着两三年前的千元机，系统补丁可能早就停更了。这种情况下，要么换机，要么至少把浏览器和常用App更新到最新，别乱装第三方应用商店的东西。

最后说一个反直觉的事：有时候不更新反而更安全。某些老版本软件因为用的人少，黑客都懒得研究它的漏洞。新版本刚出来的时候，反而可能引入新问题。当然这个策略只适用于特定场景，普通用户还是老老实实更新吧，别拿自己当安全研究员。

漏洞这东西，永远修不完。你今天补了这个，明天又冒出那个。能做的就是保持警惕，别乱点链接，别用来路不明的软件，定期检查更新。做到这几点，已经比大多数人强了。