“漏洞”这个词，英文在英文里最常用的漏洞说法是 vulnerability。但如果你跟一个搞安全的英文老外聊天，他嘴里蹦出来的漏洞词可不止这一个。bug、英文flaw、漏洞weakness、英文exploit，漏洞这些词各有各的英文用法，混着用不算错，漏洞但用错了场合，英文对方会觉得你不太懂行。漏洞

先说 vulnerability。英文这个词偏正式，漏洞指的英文是系统、软件、网络里存在的某种缺陷，可能被攻击者利用。比如 CVE 数据库里那条著名的 Log4Shell，官方描述就是“a critical vulnerability in Apache Log4j”。你写报告、发论文、做漏洞披露，用这个词最稳。念的时候注意重音在最后：vul-ner-a-BIL-i-ty。我见过不少人念成 VUL-ner-a-bility，老外也能听懂，但总觉得哪里不对。

Bug 就随意多了。它更像日常口语，程序员说“我代码里有个 bug”，跟安全研究员说“这个协议实现有个 bug”，语气完全不同。Bug 可以是功能错误，不一定是安全漏洞。所以你在安全会议上说“I found a bug”，别人会追问一句“Is it a security bug?”——你得说清楚。以前有个朋友在推特上发“Found a bug in iOS”，结果一堆人以为他发现了什么高危漏洞，其实只是计算器按错了会闪退。

Flaw 和 weakness 意思接近，都指“弱点、缺陷”。Flaw 更偏逻辑或设计层面的问题，比如“a design flaw in the authentication flow”。Weakness 则常见于安全领域，CWE（Common Weakness Enumeration）用的就是这个词，指的是某类安全弱点的模式。你要是说“This is a weakness”，听起来比“vulnerability”轻一点，但具体轻多少，得看上下文。

Exploit 不是漏洞本身，而是利用漏洞的那段代码或手法。中文里常说“exp”，英文里就是 exploit。比如“The exploit for CVE-2021-44228 was published within hours.” 这里 exploit 是名词。也能当动词：“He exploited the race condition to escalate privileges.” 注意，exploit 作名词时，重音在前面：EX-ploit；作动词时，重音在后面：ex-PLOIT。这个区别很多人不注意，但在技术圈里，念错了会显得外行。

还有几个词值得提。Hole 比较老派，像“security hole”，现在用得少了，但老一辈工程师还在说。Vuln 是 vulnerability 的缩写，圈内人偷懒时用，写邮件、发 Slack 常见。Zero-day 指的是没有补丁的漏洞，或者说漏洞被利用时厂商还没发布修复。这个词既是名词也是形容词：“a zero-day in Chrome” / “a zero-day exploit”。

我自己的习惯是：写正式文档用 vulnerability，跟同事闲聊说 bug 或 vuln，描述利用过程说 exploit，讨论设计问题时说 flaw。别指望一个词走天下。英文里这些词的分工比中文细，中文一个“漏洞”全包了，英文得看语境挑。你挑对了，对方觉得你懂；挑错了，虽然不至于翻脸，但沟通成本就上去了。

最后说一个容易踩的坑。有人把“漏洞”直译成 “leak”。Leak 是泄露，不是漏洞。数据泄露是 data leak，漏洞是 vulnerability。你要是说“I found a leak in the system”，别人会以为你在说内存泄漏或者数据外泄，跟安全漏洞是两码事。这个错误我见过不止一次，写出来提醒一下。

(责任编辑：百科)