2017年5月12日，世界事件一个星期五的漏洞下午。英国国民健康服务体系（NHS）的世界事件电脑屏幕上突然弹出红色勒索信，要求支付300美元比特币解锁文件。漏洞手术被迫取消，世界事件救护车改道，漏洞放射科医生对着无法打开的世界事件扫描图像发呆。这场名为WannaCry的漏洞蠕虫病毒在24小时内席卷150个国家，医院、世界事件工厂、漏洞学校、世界事件银行全线瘫痪。漏洞

但最讽刺的世界事件是，漏洞源头是漏洞美国国家安全局（NSA）。他们开发的世界事件“永恒之蓝”网络武器被黑客组织Shadow Brokers盗走，然后像扔手雷一样扔进互联网。NSA早就知道这个Windows漏洞，却选择偷偷利用而不是通知微软。直到武器泄露，微软才紧急发布补丁。可全球仍有大量系统没打补丁——包括NHS，因为他们还在用Windows XP。

这暴露了数字时代最荒诞的现实：我们的基础设施建立在不断腐坏的代码地基上。你以为银行金库固若金汤？2016年孟加拉国央行被黑客从SWIFT系统盗走8100万美元，攻击者只是发送了几封带恶意附件的求职邮件。一个央行的网络防御，居然被简历文件夹里的陷阱击穿。

漏洞不在技术，在人。2013年Target超市被黑，4000万张信用卡数据泄露。调查发现，攻击入口是Target的空调维修承包商——那家小公司收到一封钓鱼邮件，输入了供应商门户密码。一台空调设备，成了通往北美零售巨头的后门。

更隐蔽的是供应链攻击。2020年底，SolarWinds的软件更新被植入后门，美国政府多个部门、微软、英特尔全部中招。没人发现异常，因为恶意代码伪装成正常更新，随系统自动安装。攻击者花了九个月时间潜伏，像慢性毒药一样渗透每一台服务器。事后调查显示，俄罗斯黑客早在2019年就入侵了SolarWinds的构建系统。

有些漏洞甚至不是代码错误，而是设计哲学缺陷。2018年，安全研究员发现Intel处理器存在Meltdown和Spectre漏洞，几乎所有现代CPU都受影响。这不是软件bug，而是芯片架构为了性能牺牲了安全隔离。你要想修好，只能换硬件。全球数十亿台设备，一夜之间全部暴露在侧信道攻击风险下。

我常想，我们对待网络安全的态度像什么呢？就像盖了摩天大楼却从不检查地基，等到裂缝蔓延才慌乱地贴创可贴。WannaCry之后，不少组织确实升级了系统，但更多只是买几个防火墙心安理得。你看看2021年Colonial Pipeline被勒索攻击导致美国东海岸燃油短缺，那家公司居然用单个密码保护整个网络系统。

漏洞的核心矛盾在于：安全总滞后于便利。厂商急着推送新功能，用户懒得更新补丁，政府宁愿囤积漏洞当武器也不愿披露。每个环节都在踢皮球，最后是普通用户承受代价。

2023年，MOVEit文件传输软件又曝出零日漏洞，全球2000多家企业数据被窃。这回攻击者是Clop勒索团伙，专挑那些管理人力资源数据的软件下手。你猜怎么着？他们利用了SQL注入漏洞——一种1998年就被广泛公开的攻击手法。二十多年了，我们还在犯同样的错误。

说句难听的，只要人类还在写代码，漏洞就永远不会消失。但我们可以少一点傲慢，多一点敬畏。别总觉得自己不是目标，别以为防火墙能挡住一切。下次看到系统更新提醒，别急着点“稍后”——那个补丁可能补的正是别人正在利用的洞。