右下角弹窗跳出来的发现时候，我正在导出一份视频素材。安全红色盾牌图标，软件一行加粗黑字：“您的提醒电脑存在高危系统漏洞，建议立即修复。自己”下面还跟着个倒计时，系统像炸弹要炸了似的漏洞。

说实话，发现这种提醒我见多了。安全上次装了个驱动精灵，软件它说我缺了十七个驱动，提醒结果修完蓝屏了。自己但这次不一样——弹窗来自Windows安全中心，系统不是漏洞第三方软件。那个盾牌是发现系统自带的。

我点开详情。漏洞编号CVE-2024-38063，描述写着“远程代码执行漏洞”，影响Windows 10和11的TCP/IP协议栈。攻击者可以发送特制数据包，无需用户交互就能在目标机器上执行任意代码。听起来挺唬人。

但等一下。我的电脑是家庭网络，路由器后面，没开公网端口。这个漏洞主要影响暴露在公网的服务器。我犯得着半夜爬起来打补丁吗？

不过手指还是点开了“立即修复”。下载补丁，重启，前后不到十分钟。重启后我查了下更新历史，发现这个补丁其实三天前就自动下载了，只是没安装。安全中心在催我。

这让我想起上个月的事。同事老张的电脑中了勒索病毒，所有文档被加密。他平时不装杀毒软件，说“影响性能”。结果呢？他花了三天恢复数据，还丢了两个季度的报表。病毒就是通过一个类似的系统漏洞进来的，那个漏洞微软两个月前就发了补丁。

安全软件的提醒有时候确实烦。弹窗、红点、托盘图标变黄。但它们没骗你——漏洞是真实存在的。区别只在于，你愿不愿意花十分钟处理它，还是赌自己不会被盯上。

我翻了下这个月的安全报告。微软在八月补丁日修复了九十多个漏洞，其中七个是“零日漏洞”——意思是攻击者已经在利用它们了。零日漏洞最危险的地方在于，你根本不知道谁在扫你的端口。

有个做安全的朋友告诉我，现在自动化攻击工具很便宜。暗网上一个漏洞利用工具包卖几十美元，买家不需要懂技术，点几下就能扫描整个网段。你的电脑如果没打补丁，就是敞着门。

当然，不是所有漏洞都致命。有些需要本地访问权限，有些需要用户点击钓鱼邮件。但问题是，你没法判断哪个漏洞会被组合利用。攻击链往往是这样：先用A漏洞拿到低权限，再用B漏洞提权到管理员，最后用C漏洞横向移动。你漏掉一个补丁，整条链就通了。

我后来养成了一个习惯。每个月第二个星期三——微软补丁日后的第二天——手动检查一次更新。不依赖自动安装，因为有时候它卡在“等待重启”状态好几天。花五分钟，换一个月的安心。

安全软件提醒你漏洞，就像烟雾报警器响了一样。你可能正在煎牛排，烟大了点，报警器误报。但你不能因为误报过几次，就把电池拆了。真着火的时候，它救你命。

这次修复完，我顺手点开了“检查更新”。又发现两个可选更新，一个.NET框架的，一个驱动程序的。我没装。可选更新通常不紧急，而且有时候会引入新问题。但安全更新，我从不跳过。

电脑重启后运行正常。那个红色盾牌变绿了，托盘图标也恢复了。我继续导出视频，心里踏实了点。十分钟的事，何必赌呢。

(责任编辑：娱乐)