```html

Win10新装系统，漏洞到底要不要修？装新

我上周给一台旧笔记本重装了Win10。装完驱动、复漏连上网，新系统需不需修右下角那个盾牌图标就开始冒红叉——Windows安全中心提示“需要采取操作”。装新点进去一看，复漏一堆待修复的新系统需不需修漏洞列表，从远程代码执行到权限提升，装新密密麻麻。复漏我没管它，新系统需不需修直接打开浏览器下软件。装新结果半小时后，复漏系统自己重启了，新系统需不需修更新历史里多了三个补丁。装新

这事挺有意思。复漏很多人觉得新装的系统“干净”，漏洞自然少。但事实是，Win10装好那一刻，它默认就带着微软出厂镜像里的所有已知漏洞。这些漏洞不是你用出来的，是系统自带的。比如2020年那个SMBGhost漏洞（CVE-2020-0796），影响的是SMBv3协议，新装系统如果没打补丁，只要连上网，攻击者就能远程执行代码。你甚至不用点任何东西。

补丁修复，不是“要不要”，是“什么时候”

我见过有人装完系统第一件事就是关掉Windows Update，理由是“怕自动更新搞坏东西”。这操作在XP时代可能还行，但在Win10上，等于把门锁拆了还开着窗。微软每月第二个周二发补丁，叫“补丁星期二”。新系统装好，你打开更新，它至少会拉下来最近一个月的累积更新。如果你不装，那些漏洞就一直在。

有个做安全的朋友跟我说，他扫过一台刚装好、没打补丁的Win10机器，用Nessus扫出四十多个高危漏洞。其中一半以上是系统自带的组件问题，比如Edge浏览器、远程桌面服务、打印后台程序。这些组件你平时可能不用，但服务在后台跑着，端口开着，就是入口。

那自动更新不就行了？

自动更新确实省事。但有个问题：它慢。新装系统第一次检查更新，可能要等十几分钟，甚至半小时。而且它会分批下载、分批安装，中间还重启几次。我那次装完系统，手动点了“检查更新”，然后去泡了杯茶。回来发现它还在“正在下载更新 0%”。后来我直接去微软官网下了最新的累积更新包，离线安装，五分钟搞定。

手动打补丁还有个好处：你能控制节奏。自动更新有时候会在你正忙的时候重启，或者装了个有Bug的驱动。手动的话，你可以先看更新说明，避开那些已知有问题的补丁。比如去年有个补丁会导致某些打印机蓝屏，手动安装的人可以先跳过，等修复版。

不修漏洞会怎样？

我拿自己那台旧笔记本做了个实验。装好系统，不装任何补丁，连上网，放着不动。两小时后，Windows Defender弹了三次警告，都是阻止了来自局域网的扫描。其中一次是尝试利用EternalBlue漏洞——就是当年WannaCry用的那个。虽然Win10默认关闭了SMBv1，但如果你手动开了文件共享，或者装了某些旧软件，这个漏洞就可能被利用。

普通用户可能觉得“我没什么值得黑的”。但攻击者不挑目标，他们用自动化工具扫整个网段。你中招了，机器变成肉鸡，或者被装挖矿程序，你甚至察觉不到。我见过一台没打补丁的Win10，CPU常年占用30%，查了半天发现是门罗币矿机。

我的做法

现在装完Win10，我会做三件事：第一，连上网，让系统自己检查更新，但只让它下载，不自动安装。第二，去微软更新目录网站，手动下载最新的累积更新和.NET补丁，离线装。第三，装完后用Windows安全中心扫一遍，确认没有遗漏。整个过程大概二十分钟，比等自动更新快，也比不装安心。

漏洞修复不是一劳永逸的事。新系统装好只是起点，后面每个月都得跟。但至少第一次，别偷懒。你省下的那二十分钟，可能后面要花两小时去清病毒。