2017年4月，计算机漏NSA的洞案“永恒之蓝”漏洞利用工具被人挂到网上公开下载。一个月后，计算机漏WannaCry勒索病毒横扫150个国家，洞案英国 NHS 系统瘫痪，计算机漏手术取消，洞案救护车改道。计算机漏中招的洞案机器有个共同点：还在跑 Windows 7，没打 MS17-010 补丁。计算机漏一个补丁，洞案几十万台机器，计算机漏几十亿美元损失。洞案这事说明白了一个道理——漏洞本身不可怕，计算机漏可怕的洞案是知道了漏洞却不动手修。

MS17-010 这个补丁微软在当年3月就发了。计算机漏比病毒爆发早了整整两个月。但大量机构没装。为什么？有的嫌麻烦，有的怕影响业务系统兼容性，有的压根不知道自己的机器还在跑什么系统。安全圈有句话：没有补丁的漏洞是定时炸弹，有补丁不打的漏洞是自爆按钮。

再说一个更早的。2014年，OpenSSL 被曝出“心脏出血”漏洞（CVE-2014-0160）。攻击者可以读取服务器内存里最多64KB的数据。这64KB里有什么？私钥、会话令牌、用户密码。全球大约17%的HTTPS服务器受影响。那几天我印象特别深，朋友圈里全是“赶紧改密码”的提醒。但改密码解决不了根本问题——服务器端的 OpenSSL 没升级，改一百次密码也没用。后来统计，这个漏洞存在了两年多才被发现。两年里，没人注意到 memcpy 那行代码少了个边界检查。

漏洞这东西，很多时候不是“攻破”的，是“捡到”的。2019年，Capital One 银行被黑客入侵，1亿用户的个人信息泄露。入侵方式说出来有点丢人：攻击者利用了 AWS 上一台配置错误的 WAF（Web 应用防火墙）。不是零日漏洞，不是高级持续性威胁，就是一个配置失误。安全团队后来复盘，发现这个配置错误在内部审计里被标记过，但没人跟进。标记了，然后忘了。这种事在安全行业太常见了。

我自己的观察是，大部分漏洞利用的链条里，技术难度最高的那一环往往不是漏洞本身，而是“找到没打补丁的目标”。Shodan、ZoomEye 这类搜索引擎把这一步的难度降到了零。你搜一个特定版本的 Apache Struts，能列出几十万台服务器。2017年 Equifax 泄露1.47亿人信息，就是因为一台服务器没修 Apache Struts 的 CVE-2017-5638。补丁发布到入侵发生，隔了两个月。又是两个月。

写代码的人都知道，漏洞不可能完全避免。C 语言里一个 strcpy 用错就是缓冲区溢出，Java 里一个反序列化没做校验就是远程代码执行。问题不在于“为什么会有漏洞”，而在于“为什么漏洞被发现后还能活那么久”。答案通常不在技术层面——在流程、在优先级、在“这事不归我管”。

Log4j 那次也一样。2021年12月，Log4Shell 爆发。一个日志库的 JNDI 注入，影响范围覆盖了几乎所有 Java 应用。修复方案其实不复杂：升级 Log4j 版本，或者设置 log4j2.formatMsgNoLookups=true。但很多团队花了几周才搞清楚自己到底哪些服务用了 Log4j。依赖树太深了，一个服务套一个服务，没人能画出一张完整的调用图。这暴露的问题比漏洞本身更麻烦：你不知道你拥有什么，你就保护不了什么。

漏洞案例看多了会发现，真正造成大规模破坏的，很少是那种“天才黑客发现的天才漏洞”。更多时候是一连串普通失误的叠加：一个没打的补丁，一个没跟进的审计项，一个没人维护的旧系统，一个“先上线再说”的配置。安全不是靠一个神器或者一个团队就能搞定的，它是一堆琐碎事情的集合。而人，天生不擅长处理琐碎事情。