安全圈里有个词叫“零日漏洞”（0day），修复指的漏洞是被利用时厂商还不知情、没有补丁的漏洞漏洞。可要是修复厂商早就知道了，却一直拖着不修呢？漏洞这玩意儿连个正式名字都没有——业内管它叫“N-day”或者干脆喊“老洞”。名字不重要，漏洞重要的修复是它一直躺在代码里，像颗没爆的漏洞地雷。

2017年Equifax数据泄露，漏洞1.43亿美国人信息被扒。修复漏洞是漏洞Apache Struts的一个已知问题，补丁在3月就发布了，漏洞Equifax到7月才修。修复黑客压根没用什么高端技术，漏洞就是漏洞扫了一遍互联网，找到没打补丁的服务器，然后长驱直入。这事儿让我印象特深——攻击者用的不是秘密武器，是厂商早就公开的“过期情报”。

你可能会想，厂商都发补丁了，用户不装怪谁？这话对一半。现实是，很多系统跑着老掉牙的框架，升级一次要动几百个依赖，业务不能停，测试要重跑，预算得审批。大公司尚且如此，中小厂更别提了。我见过一个金融公司，核心交易系统跑着2013年的Java库，安全团队每年打报告申请升级，运维团队年年回“影响稳定性”，就这么耗着。漏洞在，风险在，但没人背得起“系统挂了”的锅。

还有个更拧巴的情况——厂商自己摆烂。有些开源项目维护者就一两个人，漏洞报告堆了半年没人看。你发邮件催，人家回“欢迎提PR”。企业用着免费库，出了问题只能自己扛。这不叫“零日”，这叫“无限日”——漏洞公开了，补丁不存在，或者补丁出了但质量稀烂，修了等于没修。

从攻击者视角看，这些老洞反而是宝。零日漏洞贵，一条能卖几十万美元，还得碰运气。N-day漏洞网上有现成的利用代码，随便改改就能用。安全研究员做过统计，大多数入侵事件用的漏洞，年龄超过一年。黑客不傻，他们专挑“性价比”最高的路走——你守得再严，总有一扇门忘了锁。

所以别纠结名字了。“零日”听着吓人，实际上“已知但未修”才是常态风险。真正的安全不是追着新漏洞跑，而是把已知的坑填平。你要是问我现在最怕什么，不是某个神秘的新洞，而是那个三年前就报过、至今还在生产环境里躺着的CVE编号。它没名字，但它比任何0day都实在。