一个补丁拖了三个月没打，漏洞严重结果整条业务线被拖库。漏洞严重这事就发生在我前东家，漏洞严重一家做跨境电商的漏洞严重中型公司。数据库里躺着两百多万条用户记录，漏洞严重姓名、漏洞严重手机号、漏洞严重收货地址，漏洞严重连加密都没做，漏洞严重明文存储。漏洞严重攻击者从某个第三方组件的漏洞严重一个反序列化漏洞进来，一路畅通无阻，漏洞严重最后打包走人。漏洞严重安全团队事后复盘，漏洞严重发现那个漏洞的漏洞严重补丁早在半年前就发布了，内部工单也提了，优先级标的是“中”。没人当回事。

漏洞这东西，平时看不见摸不着，一旦爆了就是连锁反应。很多人觉得“严重”指的是技术层面的评分，CVSS 9.8 就吓得不行。但真正严重的漏洞，往往不是分数最高的那个，而是最容易被忽略、最贴近业务逻辑的那个。比如一个越权查看订单的接口，评分可能只有6.5，但它能让你看到别人的收货地址和电话。批量遍历一下，整个用户画像就出来了。这种漏洞不触发任何告警，日志里看着跟正常请求一模一样。

我见过一个更离谱的。某 SaaS 后台的密码重置功能，验证码是四位数字，没有次数限制。写个脚本跑十分钟，就能重置任意账号的密码。开发当时觉得“有验证码就行了”，安全测试提了，回复是“业务上没人会这么干”。结果上线第二周，一个竞争对手的账号就被改了密码，里面全是客户报价单。这事后来私了了，没上新闻，但漏洞的代价一点没少付。

严重漏洞的另一个特征：修复成本远低于利用成本。上面那个验证码问题，加个频率限制，两行代码的事。拖到出事，赔的钱够养一个安全团队一年。很多公司不是不知道有漏洞，是觉得“没那么巧”。安全这行有个残酷的规律——你不需要跑得比攻击者快，你只需要跑得比隔壁公司快。但隔壁公司也是这么想的。

再说个技术细节。很多严重漏洞藏在“默认配置”里。比如某中间件默认开启管理端口，密码是弱口令；某云存储默认权限是公开读写。开发图省事，直接默认跑起来，测都不测。攻击者根本不用挖漏洞，扫一遍 IP 段，捡漏就行了。这类问题占了我见过的严重漏洞里至少三成。不是技术多难，是态度问题。

有人问，那怎么判断一个漏洞算不算“严重”？我的标准很简单：能不能直接拿到权限、能不能批量影响用户、能不能绕过核心业务逻辑。三个占一个，就得按最高优先级处理。别管 CVSS 几分，别管开发说“这个不好修”。不好修也得修，修不了就下线。业务连续性重要，但用户数据泄露了一次，业务可能就没了。

最后说个真事。某金融 App 的登录接口，返回包里带了用户 ID 和手机号。前端只显示了脱敏后的，但抓包一看全都有。测试提了，开发说“前端已经脱敏了，后端不用改”。后来这个接口被爬了，撞库成功率飙升。安全团队连夜加签名校验，但数据已经流出去了。这个漏洞的“严重”不在于技术多高深，在于它暴露了一个思维盲区——以为前端做了就等于安全做了。这种盲区，比任何 0day 都可怕。