系统漏洞要不要修复

办公室老张上周中了一招。系统他点开一封标题为“季度奖金明细”的漏洞邮件，附件是不修个压缩包。半小时后，系统财务系统开始群发垃圾邮件。漏洞IT部门查了半天，不修最后发现老张的系统电脑里躺着一个老旧的PDF阅读器，漏洞编号CVE-2018-4993，漏洞三年前就公布了补丁。不修老张没装。系统他说：“我哪知道什么补丁，漏洞弹窗出来我就点‘以后再说’。不修”

这就是系统系统漏洞的真实处境——它们不是电影里那种黑客大战时被攻破的科幻防线，而是漏洞你电脑上那扇没锁的后门。漏洞修复，不修说白了就是给这扇门换把锁。问题在于，很多人嫌换锁麻烦。

我见过一家小公司，老板觉得杀毒软件都多余，更别提系统更新。结果某天勒索病毒进来，把客户资料全加密了。对方要价两个比特币，老板算了算，请人恢复数据的钱比赎金还贵，最后咬牙交了赎金。这故事听起来像新闻，但真发生在熟人身上时，你才会意识到：漏洞不修复，赌的是运气，输的是底裤。

有人会说，修复漏洞本身有风险。这话不假。Windows更新偶尔蓝屏，某些老软件在新补丁下会闹脾气。我朋友就遇到过，公司财务软件必须用IE6，一更新系统就罢工。这种场景下，不修复是权衡后的选择，但得付出代价——那台电脑必须断网，物理隔离，U盘使用要登记。可现实中，多数人只是懒，不是真有什么非保留不可的旧版本。

更隐蔽的问题是，漏洞修复往往不是“点一下更新”那么简单。企业系统里，一台服务器上跑着十几个应用，牵一发动全身。IT管理员得先测试补丁，再安排停机窗口，还得准备回滚方案。这活儿累，而且不出事时没人看见价值。但你看那些被攻破的企业，事后分析报告里，十有八九写着“未及时应用补丁”这一条。

个人用户反倒简单些。把系统更新设为自动，别用那些停止维护的软件，比如Windows 7。我知道有人怀旧，觉得Win7好用，但微软早就不管它了，漏洞就像敞开的门，谁都能进。你装个杀毒软件，相当于在门里加了道栅栏，但门本身是坏的，栅栏再高也拦不住人从门框上爬进来。

修复漏洞的本质，是对抗熵增。软件越写越复杂，漏洞永远存在，补丁不过是把已知的坑填上。你每延迟一天，黑客就多一天机会研究那个坑怎么利用。他们不睡觉，不放假，专挑凌晨三点你熟睡时扫描你的IP。

说到底，这不是技术问题，是习惯问题。就像刷牙——没人觉得刷牙能保证不得牙周病，但不刷牙的后果，牙医最清楚。漏洞修复同理，它不能让你绝对安全，但能把你从“容易攻击的目标”名单里划掉。黑客也挑软柿子捏。你的系统补丁齐全，他们就转向下一台没更新的电脑。

老张最后怎么解决的？IT给他重装了系统，补丁全打上，还给他设了自动更新策略。他抱怨了两句“麻烦”，但后来再没出过事。他大概没想过，自己那台电脑曾像没关窗的房子，风雨飘摇一整年，只是运气好，没遇上暴雨罢了。