凌晨三点，电脑我被一通电话吵醒。漏洞朋友在那边急得语无伦次：“我的该不该修比特币钱包被清空了，就因为我点了那个‘安全更新’的电脑弹窗。”他以为自己在修复漏洞，漏洞结果掉进了黑客用假更新页面设的该不该修陷阱。
这事儿让我想起一个反直觉的电脑事实：大多数电脑漏洞，其实不该急着修。漏洞微软每个月第二个星期二发布补丁，该不该修业内叫“Patch Tuesday”，电脑但真正懂行的漏洞人会等上三四天再更新。为什么？该不该修因为每次补丁发布后，总有那么几个不靠谱的电脑更新会弄崩打印机驱动，或者让某个老软件直接罢工。漏洞我见过一家小公司，该不该修为了修一个无关紧要的漏洞，全员更新系统，结果财务软件整个瘫痪，两天没法开票——损失比那个漏洞能造成的伤害大得多。
漏洞分三六九等，不是所有洞都得补。比如你电脑上装了个五年前的单机游戏，它有个漏洞能让玩家作弊，但根本连不上网——这种洞修不修无所谓。真正要命的是那种能远程控制你电脑的“零日漏洞”，尤其是浏览器和邮箱这类每天接触外部数据的东西。可很多人恰恰相反，游戏更新比谁都积极，系统补丁却一拖半年。
更讽刺的是，有时候修复本身就是在制造新漏洞。2021年有个著名案例，某安全公司推出一款“防勒索软件”工具，结果它自己存在权限提升漏洞，反而成了黑客的跳板。这就像你家里门锁坏了，找来一个修锁匠，结果他把门框拆了——修锁匠确实是专业的，但他带来的工具箱本身就有问题。
那到底该怎么办？我的个人经验是：分清主次。操作系统和浏览器的安全更新，该修就修，但别用“自动更新”这种傻瓜模式——手动检查，看清楚补丁说明再动手。至于那些冷门软件、老驱动、游戏插件，除非明确知道自己暴露在风险里，否则别瞎折腾。我自己的电脑，系统更新会延迟一周，但杀毒软件的病毒库永远保持最新。
还有个被人忽略的细节：重启解决不了所有问题，但很多漏洞确实需要重启才能生效。可太多人更新完不重启，以为自己已经安全了——那感觉就像打了疫苗却不离开感染区，防护罩根本没撑开。
回到开头那个朋友，他后来查出来，那个“安全更新”弹窗本身就是钓鱼网站做的。他要是没急着点，反而没事。所以下次弹出更新提示时，先问自己三个问题：这是什么软件？这个漏洞影响我现在的使用场景吗？更新包来源可靠吗？如果答不上来，那就先放着。电脑漏洞就像你身上的小伤口，有些贴个创可贴就行，有些非要动手术——但动手术前，你得先确认主刀医生不是个骗子。