漏洞修复有必要吗

去年秋天，漏洞我帮一个做外贸的修复朋友看他的独立站。网站跑在某个开源CMS上，有必后台提示有十几个待更新的漏洞补丁，他嫌麻烦，修复一直点“稍后提醒”。有必结果某天早上打开后台，漏洞首页被挂了一串阿拉伯文，修复数据库里客户询盘记录全被清空。有必他后来找安全公司应急，漏洞花了一万二，修复还丢了三个谈了一半的有必订单。

这就是漏洞漏洞修复最直白的一面：你不补，别人就替你“补”，修复代价往往高得多。有必

很多人对“漏洞”这个词没概念，觉得那是大公司才需要操心的事。其实漏洞就是代码里写错的、没考虑周全的地方。比如某个登录接口，程序员忘了限制输入长度，攻击者就能往里面塞一段恶意指令，把整个数据库拖走。这种错误在开源项目里尤其常见——全球几万个开发者一起写代码，每个人风格不同，难免留下坑。你用的那个插件，可能三年前就没人维护了，但漏洞还挂在那儿，谁都能查。

我自己的博客也踩过坑。有一回装了个评论插件，图它界面好看，没注意版本号。两周后服务器流量暴涨，查日志发现有人在通过这个插件上传挖矿脚本。那插件最后一次更新是2019年，作者早就不管了。我删掉插件、重装系统、改密钥，折腾到凌晨三点。从那以后，我养成了一个习惯：每月第一个周末，花二十分钟把所有能更新的东西全点一遍。不为什么，就图个清净。

有人会说，小网站没人盯，不用太紧张。这话放五年前可能成立，现在不行了。攻击早就自动化了。扫描器每天在互联网上爬，专门找特定版本的软件，发现就自动打。你网站小，但你的服务器资源、你的带宽、你的用户数据，对别人来说都是钱。挖矿、发垃圾邮件、当跳板攻击别人，哪样都能变现。你觉得自己不起眼，在扫描器眼里，你就是一个IP，一个可能存在的入口。

修复漏洞也不只是打补丁。有些老系统根本没法升级，一升业务就崩。这时候得想别的办法：加个WAF挡在前面，把不必要的端口关掉，数据库权限收紧，定期备份。这些事做起来不酷，甚至有点笨，但管用。我见过一个跑了十几年的内部系统，用的还是PHP 5.3，早就停止支持了。管理员在它前面架了反向代理，只允许特定IP访问，又写了脚本每天凌晨自动备份到异地。这套土办法撑了六年，没出过事。

反过来，我也见过另一种极端：有人每天盯着安全公告，一有补丁就立刻打，结果把生产环境搞挂了。修复漏洞要看优先级。远程代码执行、SQL注入这类，必须马上处理；跨站脚本、信息泄露，可以排期。关键是知道自己有什么、暴露了什么、最坏情况能承受多少。这不是技术问题，是判断问题。

回到开头那个朋友。后来他把网站迁到了托管服务，自动更新，省心不少。但他说了一句话我印象很深：“以前觉得打补丁是给系统擦屁股，现在觉得是给自己买保险。”这话糙，但理不糙。漏洞不会因为你忽视它就消失，它只会安静地待在那儿，等一个合适的时机，给你上一课。

修不修，你自己选。只是别等出事那天，才想起后台那个红色的小圆点。