漏洞的是

2017年9月，漏洞Equifax泄露了1.47亿人的漏洞信用数据。事后调查发现，漏洞问题出在一个叫Apache Struts的漏洞开源组件上。这个组件有一个已知漏洞，漏洞补丁早在半年前就发布了。漏洞Equifax没打。漏洞

这事儿的漏洞荒诞之处在于：漏洞不是没人知道，而是漏洞知道了，没修。漏洞修复成本大概几百美元的漏洞人力工时。泄露造成的漏洞损失，最终超过40亿美元。漏洞你说这账怎么算的漏洞？

我后来跟一个做安全的朋友聊起这事。他说，漏洞大公司里这种事太常见了。安全团队报了漏洞，催着修，业务部门说排期满了，下个季度再说。下个季度来了，又推到下下个季度。直到出事。

漏洞的本质不是技术问题。是人的问题。

你看那些漏洞报告，CVE编号一年几千个。高危的、中危的、低危的，分得清清楚楚。但真正被利用的漏洞，往往不是最复杂的那个。是那个大家都知道、都懒得修的那个。攻击者不傻，他们专挑软柿子捏。

2014年，心脏出血漏洞（Heartbleed）爆发。OpenSSL这个库几乎支撑了半个互联网的HTTPS加密。漏洞本身很简单——一个边界检查没做。读内存的时候多读了几十个字节。就这几十个字节，能泄露服务器上的私钥、用户密码、会话令牌。全球几十万台服务器受影响。

这个漏洞在代码里躺了两年多。不是没人看那段代码，是没人认真看。OpenSSL项目当时全职开发者就一两个人，靠捐款活着。互联网巨头们用着人家的代码赚得盆满钵满，捐钱的时候一个比一个抠。漏洞爆了，才想起来开会、拨款、搞审计。

我有时候觉得，漏洞像一面镜子。照出来的不是代码有多烂，而是整个系统里谁在干活、谁在甩锅、谁在装睡。

再说个近点的。Log4j漏洞，2021年底爆的。影响面大到什么程度？你叫得上名字的互联网公司，几乎全中招。这个漏洞的利用方式简单到离谱——在日志里打一行特定字符串，就能远程执行代码。攻击门槛低到脚本小子都能玩。

但有意思的是，Log4j的维护者是一个全职做别的工作的志愿者。他在业余时间维护这个被全世界用的日志库。漏洞爆出来之后，他几乎没怎么睡，连夜修。而那些用他代码的大公司呢？有的连自己用了Log4j都不知道。软件物料清单？没听说过。

供应链安全喊了这么多年，真到查依赖的时候，一堆公司抓瞎。你问他们系统里用了哪些开源组件，他们得现查。查出来的结果自己都吓一跳——几百个依赖，层层嵌套，有的库三四年没更新过。

所以我说，漏洞的真相是：技术债、管理债、人性债，三债合一。修漏洞不难，难的是让人重视。安全团队没话语权，业务部门只看KPI，老板觉得出事是概率问题。等到真出事了，再找背锅的。

我见过一个创业公司，CTO自己写代码，也自己管安全。每次有高危漏洞，他直接停业务线，全员修。修完再上线。有人觉得他太激进。他说，你们没算过账——泄露一次，公司就没了。他算过。

这话糙，但理不糙。漏洞不会因为你忽略它就消失。它就在那儿，等着。你修或者不修，它都在倒计时。

区别只在于，倒计时归零的时候，你是在修漏洞，还是在写道歉信。