上周五晚上十一点，系统需修我朋友的漏洞公司服务器被勒索病毒加密了。黑客留了封英文信，系统需修要价0.5个比特币，漏洞折合人民币大概三十万。系统需修他们IT主管是漏洞个刚入职半年的小伙子，检查完日志后脸色发白——漏洞是系统需修三个月前就被通报过的，补丁一直没打，漏洞因为"业务不能中断，系统需修怕影响生产"。漏洞

这故事听着耳熟吧。系统需修几乎所有被攻破的漏洞系统，事后追溯都能找到一条清晰的系统需修链条：某个已知漏洞，某台没更新的漏洞服务器，某个默认密码的系统需修数据库。安全圈有句老话：不是黑客太厉害，是你家大门根本没锁。可偏偏有人觉得，锁不锁无所谓，反正小偷不一定来。

漏洞修复这事，最烦人的不是技术难度，而是业务部门的配合度。你跟他讲补丁要重启，他说"不行，晚上有批处理任务"；你说可以错峰打，他说"那得等月底结算完"；等到月底，新漏洞又出来了。循环往复，最后变成了"等我们有空再修"——这话跟"等我有钱再理财"一样，基本等于放弃治疗。

但有个反直觉的事实：不是所有漏洞都需要立刻修。你得看暴露面。内网OA系统的一个中危漏洞，和公网支付接口的一个高危漏洞，风险等级天差地别。前者可以排期慢慢弄，后者必须连夜处理。有些系统压根没连外网，攻击者连摸都摸不到，你非要停机去修个理论漏洞，反而制造了新的可用性问题。安全不是洁癖，是取舍。

真正要命的是那种"知道有问题但觉得无所谓"的心态。我见过一个制造企业，生产线控制系统的Windows 7老机器，用了快十年，厂家早不提供补丁了。老板觉得"物理隔离了，外网进不来"。结果怎么着？有个员工为了远程看监控，私自拉了一根网线到办公网。那台Win7成了跳板，整个内网被翻了个底朝天。隔离墙是纸糊的，人永远是最薄弱的环节。

那到底怎么定优先级？我给你个土办法：先数数你这个系统有没有公网IP，有的话，高危漏洞一周内必须修；没有的话，高危可以放宽到一个月，但要确认边界防护到位。中危低危的，跟着版本升级节奏走，但别超过一个季度。至于那些已经被黑客盯上的漏洞——比如Log4j那种——别管什么排期了，当天就得动手。漏洞库里的东西，每多存在一天，就像你家窗户没关，雨下不下是天气的事，但你至少得把纱窗拉上吧。

还有个细节很多人忽略：补丁打完了不算完。你得验证业务没受影响，不然半夜三点被电话吵醒，说ERP打不开了，那才叫真崩溃。最好先在一台测试机上跑一遍，确认没问题再批量推。没有测试环境的，挑业务低谷期，先拿一两台非核心机器试水。这活儿不性感，但踏实。

说到底，漏洞修复不是IT部门一个部门的事，是公司管理层对风险的态度问题。你见过哪个老板出门不锁办公室抽屉？但到了服务器上，就觉得"应该没事"。其实数据比现金值钱多了——现金丢了还能赚，客户数据泄露了，信誉就没了。那种损失，不是几十万比特币能衡量的。

所以回到标题的问题：系统漏洞需要修复吗？需要，但不是无脑全修。需要分清轻重缓急，需要业务部门配合，需要建立一套能落地的流程。最怕的不是漏洞多，是你压根不当回事。等出事那天，你花的不止是赎金，还有整个团队的觉。