2017年5月12日，漏洞全球近十万家机构的漏洞电脑屏幕上弹出一串红色警告，英国国家医疗服务体系的漏洞手术被迫取消，德国铁路系统停摆，漏洞中国高校的漏洞实验室电脑集体沦陷。罪魁祸首是漏洞一个叫WannaCry的勒索软件，它利用的漏洞漏洞编号MS17-010，早在两个月前就被微软修补了。漏洞问题在于，漏洞那些被感染的漏洞机器，绝大多数没打补丁。漏洞

漏洞本身只是漏洞一段代码里的逻辑错误。程序员写代码时，漏洞没考虑到某个边界条件，漏洞或者忘了检查用户输入的漏洞长度，攻击者就能顺着这个缝隙钻进去。听起来像是个技术细节，但它的后果从来不局限于技术层面。

我认识一个做渗透测试的朋友，他的工作就是合法地“黑”进客户系统，然后写报告告诉对方哪里有问题。他跟我说过一个规律：中小企业对漏洞的态度，基本分三类。一类是压根不知道自己的系统有洞，另一类是知道了但觉得“我们这么小，没人会盯上”，第三类最麻烦——知道有洞，也知道该修，但负责修的那个人三个月前离职了，没人接手。

这个观察和Verizon每年发布的《数据泄露调查报告》对得上。报告里反复出现一个结论：大多数数据泄露事件，利用的都是已知漏洞，而且补丁早就发布了。攻击者并不总是用什么高级的零日漏洞，他们更像是在小区里挨个拉车门，总有人没锁。

漏洞信息本身是有价值的。在灰色市场上，一个能远程执行代码的零日漏洞，报价可以到几十万甚至上百万美元。攻防双方都在抢时间——防守方拿到信息后尽快修补，攻击方拿到信息后尽快利用。这个时间差有个术语叫“暴露窗口”，窗口期越短，风险越小。但现实是，很多组织的暴露窗口不是几天，而是几年。

2013年，安全研究员Tavis Ormandy在谷歌的漏洞追踪系统里提交了一个Windows内核漏洞。微软花了三个月才修复。在这三个月里，Ormandy公开表达过不满，认为微软的响应速度太慢。这件事在安全社区引发了不小的争论：漏洞信息到底该不该在厂商修复之前公开？公开了，攻击者可能利用；不公开，厂商可能一直拖着不修。

这种两难没有标准答案。但有一点是清楚的：漏洞信息不会因为你不去看它就消失。它可能在某个论坛的帖子里，在某个暗网市场的商品列表里，在某个安全研究员的硬盘里。你能做的，是在它被用来对付你之前，先把它补上。

补丁管理听起来是个枯燥的运维工作，没有写新功能那么有成就感。但很多安全事故的起点，就是一个没打的补丁。WannaCry爆发后，微软罕见地给已经停止支持的Windows XP发布了补丁。这个决定说明了一件事：当漏洞信息变成公共知识，不修补的代价可能大到无法承受。

我那个做渗透测试的朋友后来转行了，去了一家做自动化补丁管理的公司。他说，比起每次发现漏洞后写报告，他更想从源头上让“忘记打补丁”这件事变得不那么容易。这大概是对漏洞信息最务实的回应：承认它永远存在，然后想办法比它跑得快一点。