2017年，网络网络Equifax公司1.43亿条消费者记录泄露，安全包括社保号码和驾照信息。漏洞调查显示，泄密攻击者利用的原因，是网络网络一个早在3个月前就被公开披露的Apache Struts漏洞——而Equifax的IT部门，压根没打那个补丁。安全这不是漏洞黑客技术多高超，是泄密门没锁。

网络安全漏洞，原因说白了就是网络网络系统里那些没补上的窟窿。它们才是安全泄密的真正主因，而不是漏洞什么“黑客太厉害”。我见过太多案例了——攻击者用的泄密工具，往往是原因最基础的扫描器加现成脚本。真正让防线崩塌的，是那些躺在漏洞数据库里、迟迟未修复的已知问题。

2019年，美国第一资本金融公司（Capital One）遭遇数据泄露，1.06亿客户申请信息被窃。怎么进去的？一个配置错误的AWS Web应用防火墙，加上一个本可被发现的服务器端请求伪造漏洞。安全团队甚至已经检测到异常访问，但没人意识到，那是攻击者在利用漏洞翻墙越狱。

漏洞这东西，分两种。一种是代码写出来的，比如SQL注入、缓冲区溢出；另一种是配置搞出来的，比如默认密码没改、云存储权限设为公开。后者听着低级，却格外致命。2020年，微软就因一个不安全的Power Apps配置，让3800万条记录在公网上裸奔了整整数月。没有暴力破解，没有钓鱼邮件，就是有人把门牌号写错了，快递员顺手就进了门。

更麻烦的是，漏洞从被发现到被利用，时间窗口越来越短。安全公司Zerodium曾披露，从公开漏洞到出现利用代码，平均只需7天。而很多企业，打完一个关键补丁要花上几周——走流程、测兼容、排期重启。这中间的空窗期，就是攻击者的黄金时间。

有人爱把泄密归咎于“高级持续性威胁”或者“国家级黑客”，听着神秘又吓人。但翻看真实事件报告，绝大多数泄密源于未修复的高危漏洞。Verizon的《数据泄露调查报告》连续多年显示，超过60%的入侵事件，利用了已知但未修复的漏洞。黑客没发明新武器，他们只是捡起了地上的钥匙。

我认识一位运维工程师，他吐槽过：公司有几百台服务器，每周要评估上百个新漏洞，但团队就三个人。打补丁意味着可能要重启服务，重启就意味着业务中断，业务中断就要被领导骂。于是，很多补丁就这么拖着，拖到出了事才追悔莫及。这不能全怪工程师——管理层的安全意识，往往比技术漏洞更漏。

漏洞不会自己消失。代码会老化，配置会漂移，新功能会引入新问题。真正有效的防御，不是买多贵的防火墙，而是把漏洞管理当成日常习惯：及时扫描、优先修复、持续监控。可悲的是，很多企业直到被勒索软件点名了，才想起那堆早该处理的漏洞清单。

说到底，网络泄密不是天灾，是人祸。漏洞是死的，人是活的。活人不去补窟窿，那死漏洞就成了活灾难。