360安全卫士上周推送的高危那条弹窗，我盯着看了好几秒——“高危漏洞免疫已开启”。漏洞不是免疫修复，不是高危补丁，是漏洞“免疫”。这词用得挺妙，免疫像给系统打了疫苗，高危病毒还没来，漏洞路先堵死了。免疫

我顺手点开详情。高危CVE-2024-38063，漏洞Windows TCP/IP远程代码执行漏洞，免疫CVSS评分9.8。高危攻击者能通过发送特制IPv6数据包直接拿下系统权限，漏洞不需要用户点任何东西。免疫微软8月补丁日才修，但360在7月底就推了免疫模块。这个时间差，就是“免疫”和“修复”的本质区别。

补丁为什么总慢半拍

微软的补丁流程长得让人着急。漏洞先报给MSRC，内部复现、定级、排期，再走测试通道，最后选个补丁日统一发。这套流程保证稳定，但代价是时间。而攻击者不会等。漏洞细节一旦在黑产渠道流通，从武器化到实际攻击，快则几小时。

360的做法是在补丁出来之前，先在系统里加一层拦截规则。以这个TCP/IP漏洞为例，免疫模块直接 hook 了内核里处理IPv6分片的函数，把畸形数据包在进入协议栈之前就丢掉。用户不需要重启，不需要理解什么是“分片偏移”，弹窗点一下“开启”就完事。

这有点像小区门口先放个保安，不等物业修好门禁。保安不一定能挡住所有情况，但至少今晚能睡踏实。

免疫不是万能药

但别把“免疫”想得太神。它本质上是行为拦截，不是代码修复。漏洞还在，只是攻击路径被临时封了。如果攻击者换个入口，或者免疫规则本身有绕过方法，该中招还是中招。

我翻了下360的免疫日志，发现它同时拦了三个相关漏洞的利用尝试。其中两个是之前已经修复的，但攻击流量还在扫。这说明什么？说明大量机器根本没打补丁，或者打了补丁但攻击者还在试探。免疫模块在这里起的作用，更像是“兜底”——给那些来不及打补丁、或者打了补丁但系统里还有旧版本组件的机器，多一层缓冲。

另一个细节：免疫模块会定期从云端拉规则。这意味着它依赖360的漏洞响应速度。如果哪天360没及时更新，或者规则写错了，误拦了正常流量，麻烦也不小。我遇到过一回，某个免疫规则把公司内网的IPv6心跳包给拦了，排查了半天才发现是安全软件干的。

普通用户该怎么看

如果你用的是360，弹窗提示“高危漏洞免疫”，点开启就行。不用纠结它和补丁的区别，也不用去查CVE编号。但别关自动更新——免疫规则是动态的，关了等于保安下班了。

如果你不用360，Windows自带的Defender偶尔也会推“缓解措施”，逻辑类似。再不行就手动打补丁，虽然慢，但一劳永逸。最怕的是那种“我装了安全软件就万事大吉”的心态。免疫、补丁、防火墙、行为监控，这几层是叠加的，不是替代的。

说回那个弹窗。我点了开启，然后去翻360的更新日志。发现他们从2023年开始就在推这个“免疫”概念，覆盖了十几个高危漏洞。有些漏洞的补丁，微软拖了两个月才发。这两个月里，免疫模块就是唯一的防线。

技术上讲，这不算多新鲜的东西——漏洞缓解、虚拟补丁，企业级安全产品早就在做。但把它做成普通用户能一键开启的功能，还起了个“免疫”的名字，确实降低了理解成本。你不需要知道TCP/IP协议栈长什么样，只需要知道“开了比不开安全”。

至于效果，我没法给绝对保证。安全这件事，从来没有100%。但至少，在补丁和攻击的赛跑里，多了一个能提前起跑的选项。