上周三晚上十一点，中危我盯着漏洞管理平台上一排橙色的漏洞“中危”标记，手指悬在“忽略”按钮上。需修那是中危个存在了四年的老系统，负责内部员工考勤，漏洞访问权限早就锁得死死的需修。修它得动核心代码，中危测试环境还不完整，漏洞搞不好比不修更危险。需修我点了忽略，中危然后去睡了。漏洞第二天早上，需修隔壁组的中危小林告诉我，他们组那个同样被标成中危的漏洞“日志泄露”接口，昨晚被人扫到了，需修虽然没造成实际损失，但安全审计那边已经发了警告邮件。

中危漏洞到底要不要修？这个问题本身就带着一种“看情况”的狡猾。但我的答案是：要修，而且越快越好——前提是你得先搞清楚它“中”在哪里。

我见过太多团队把“中危”当成“可以拖”的代名词。开发排期满了，业务上线要紧，中危漏洞就顺理成章地躺进“技术债务”的列表里，一躺就是大半年。可中危和中危不一样。有的中危是“需要认证才能触发”，有的中危是“未授权就能访问敏感信息”，后者在攻击者眼里，跟高危没什么区别。区别只在于你愿不愿意花十分钟看漏洞描述里的“攻击路径”那一栏。

拿上个月一个客户案例来说。他们的OA系统有个中危——越权查看他人请假记录。安全团队觉得不算大事，内部系统嘛，谁会闲得慌去看同事的假条。结果真有员工写了脚本批量抓取，把全公司几百号人的请假事由（包括病假理由）打包发到了外网。事情闹大后，法务介入，那个员工被开除，但公司内部信任感已经碎了。修那个漏洞其实只花了半天，改一个接口的参数校验就行。

这不是孤例。中危漏洞往往意味着“攻击条件存在但利用门槛较高”，可门槛高不代表没人跨。现在的攻击者早就不是毛头小子了，他们用自动化工具批量扫，一天能试几千个目标。你那个“需要登录才能利用”的漏洞，在他们眼里可能只是多一步爆破或者撞库的事。撞库成功率低？没关系，他们有的是时间，而你的系统是7×24小时开着的。

当然，我反对无脑全修。有些中危确实可以缓，比如影响范围仅限测试环境，或者漏洞所在的模块即将被重构。但缓的前提是你有明确的处置计划，有负责人，有截止日期，而不是默默忽略。我见过最糟的情况是，一个中危漏洞被忽略了三次，每次审核人都写“暂不处理”，结果一年后它被利用来提权，直接变成了高危——因为中间有人给系统加了个新功能，恰好和那个漏洞串联成了攻击链。

修中危的成本，通常比修高危低得多。高危往往涉及架构级问题，要动大手术；中危多是逻辑缺陷、参数校验不严、权限控制缺失，改几行代码的事。拖得越久，代码腐化越严重，改起来越费劲。而且中危漏洞是安全团队和开发团队建立信任的好机会——你愿意认真对待他们报的每一个问题，他们下次报漏洞时就会更仔细，而不是随便填个模板了事。

说回那个被我忽略的考勤系统。后来我抽了个周末，花了三个小时把那个中危处理掉了——其实就是一个旧接口没做session校验。改完我顺手把同类的另外两个接口也查了一遍，又发现一个低危的，顺手也修了。周一早上，漏洞平台上的橙色标记变成了绿色。那种感觉，比清空收件箱爽多了。