朋友发来一张截图，扫描360安全卫士弹窗提示“高危漏洞，漏洞建议立即修复”，不修后面跟着一长串补丁编号。扫描他问我：这玩意儿到底要不要点？漏洞我说你先别急，把弹窗关了，不修打开Windows更新看一眼。扫描十分钟后他回我：系统自己已经装过其中三个了，漏洞剩下两个是不修Office的，但他压根不用Office。扫描

这事挺典型的漏洞。360扫出来的不修漏洞，本质上是扫描从微软官方补丁库里拉数据，再跟你的漏洞系统版本做比对。逻辑没错，不修但问题出在“比对”这个环节。它不管你的使用场景，也不管补丁之间的依赖关系，只要版本号对不上，统统标红。你装了个精简版系统，它能把被砍掉的组件漏洞也报出来；你用着WPS，它照样提示你修复Office漏洞。这种“宁可错杀一千”的策略，对普通用户来说就是噪音。

那是不是所有漏洞都不用管？当然不是。我自己的原则很简单：看漏洞类型和利用条件。远程代码执行类（RCE）的，尤其是影响系统核心组件的，比如SMB、RDP这些，只要微软发了补丁，我当天就装。去年那个CVE-2023-23397，Outlook的权限提升漏洞，攻击者发封邮件就能拿到你的NTLM哈希，这种不修等于把钥匙插门上。但如果是本地提权漏洞，攻击者得先能登录你的电脑——他都坐你椅子上了，你还在乎他提不提权？

360的问题在于它不给你做这个区分。所有漏洞一个颜色、一个语气，全叫“高危”。我见过最离谱的案例，是一台跑Windows 7的工控机，360天天弹窗说IE浏览器有远程执行漏洞。那台机器网线都没插，就接了个串口设备，你让它怎么被远程利用？点修复反而可能出问题——有些老软件依赖特定版本的IE组件，打完补丁直接罢工。

还有个隐藏坑：360的补丁来源。它虽然主要推微软官方补丁，但偶尔也会夹带自己的“安全更新”或者推荐安装它的其他产品。你点“一键修复”，它可能顺手给你装个360浏览器。这种捆绑行为让“修复漏洞”这件事变得不纯粹。我现在给朋友的建议一律是：关掉360的漏洞修复功能，打开Windows自动更新，让它自己管。微软比你更清楚哪个补丁该装、哪个补丁有兼容性问题。

当然Windows更新也有翻车的时候，比如某些补丁导致打印机失灵、SSD掉速。但至少微软的更新逻辑是全局的，它知道你的系统里有什么、缺什么。360是站在门外看，看到墙上有道缝就喊“你家要塌了”，至于那道缝是承重墙还是装饰条，它不关心。

所以回到标题那个问题：360扫出来的漏洞要不要修复？我的答案是——先看它扫出来的是什么，再决定修不修。如果它提示的是“MS17-010”这种蠕虫级漏洞，别犹豫，立刻打补丁。如果它提示的是“Adobe Flash Player 安全更新”，直接忽略，Flash早该入土了。如果它一次给你列了三十个漏洞，里面混着系统补丁、办公软件补丁、运行库补丁，那你就该换个工具了。漏洞管理不是集邮，不是补得越多越安全。补该补的，忽略不该补的，比无脑点“一键修复”要安全得多。

最后说个真事。我认识一个运维，他管理的服务器从来不装360，也不开自动更新。他每个月手动看一次微软的安全公告，只挑影响他业务组件的补丁装。五年了，没中过招。他说了一句话我记到现在：“漏洞是客观存在的，但风险是你自己选的。”