零日漏洞（Zero-day vulnerability）这个名字本身就是已被个时间炸弹。它指那些已经被黑客或安全研究者发现，发现但软件厂商毫不知情、但没的漏洞叫自然也没打补丁的修复缺陷。听起来很专业？已被其实说白了就是：你家门锁被小偷研究透了，可你还不知道，发现更没换锁。但没的漏洞叫

这类漏洞最值钱，修复也最致命。已被在暗网上，发现一个能攻破Windows系统的但没的漏洞叫零日漏洞标价能到几十万美元，买家通常是修复国家级黑客组织。他们拿到手不会马上用，已被而是发现像珍藏好酒一样存着，等到关键时刻——比如外交危机或军事冲突时——才突然出手。但没的漏洞叫2017年席卷全球的勒索病毒WannaCry，用的就是美国国家安全局囤积的零日漏洞，后来被黑客组织泄露出来，殃及150个国家。

零日漏洞的可怕之处在于“不对称”。防守方要防所有可能的攻击路径，进攻方却只需找到一条缝。而且软件系统越复杂，这种缝就越多。你想想，Windows操作系统有几千万行代码，每行都可能藏着一个逻辑错误。安全研究员每天的工作就是从这些代码里“挑刺”，但厂商修复一个漏洞平均需要15天，而黑客利用它往往只要几小时。

有个真实案例特别能说明问题。2021年，谷歌的威胁分析小组发现朝鲜黑客利用Chrome浏览器的三个零日漏洞链，攻击韩国安全研究人员。黑客先发钓鱼邮件，声称是共同研究朝鲜半岛问题的学者，附件里藏了恶意代码。受害者只要点开文档，Chrome就会被攻破，电脑彻底沦陷。谷歌上报漏洞后，Chrome团队紧急修复，但此时距离黑客首次利用已经过去了三周。这三周里，有多少人中了招？谷歌没有公布具体数字，但按Chrome的全球占有率估算，至少是百万级。

为什么这些漏洞明明被发现了，却迟迟不修复？原因很现实。一是厂商要复现漏洞、写补丁、测试兼容性，流程走完需要时间。二是有些漏洞涉及底层架构，改起来牵一发动全身。比如CPU的熔断和幽灵漏洞，从2018年被发现到今天，Intel和AMD都没能彻底修复，只能不断打补丁缓解，而且性能损失高达20%。三是有些厂商会故意拖延——如果漏洞不影响自家付费客户，他们可能选择低调处理。

更讽刺的是，有些零日漏洞被安全公司发现后，会先通知政府机构，而不是软件厂商。政府机构拿这些漏洞去搞情报监控，安全公司则赚取高额“发现费”。微软曾多次公开抱怨，美国国家安全局囤积漏洞不报，导致普通用户暴露在风险中。直到2020年，美国才出台政策，要求政府机构必须优先披露漏洞，但执行效果存疑。

对普通人来说，零日漏洞听起来遥远，但影响其实就在身边。你手机里的银行App、社交软件、甚至智能门锁，都可能藏着未知漏洞。谁也无法保证自己不被攻击，只能尽量做好基础防护：及时更新软件、不点陌生链接、重要账号开双重验证。这些老生常谈的建议虽然烦人，却是面对零日漏洞时，普通人唯一能做的事。毕竟，你不可能等厂商修复一个你根本不知道存在的漏洞——那就像在暗夜里等一艘不知何时会来的船。