电脑高危漏洞要修复吗

上周三凌晨两点，我正帮一个做视频剪辑的高危朋友远程处理蓝屏。他刚更新完系统补丁，漏洞机器就卡在登录界面转圈。修复折腾到四点，电脑最后用PE盘回滚了驱动才救回来。高危他问我：“以后那些高危漏洞提示，漏洞我到底还点不点修复？修复”

这事没法一刀切。得看你机器在干什么、电脑连着谁、高危以及那个漏洞长什么样。漏洞

先讲个真事。修复2017年“永恒之蓝”爆发那会儿，电脑我所在的高危公司内网有台测试机没打MS17-010补丁。周五下班前还好好的漏洞，周一早上整个财务部电脑全被加密，屏幕上跳着比特币地址。IT部门后来复盘，病毒就是从那个没修复的SMB漏洞钻进来的。一台机器偷懒，整个局域网陪葬。这种时候，高危漏洞修复不是选择题，是生死题。

但反过来，我自己的主力工作机跑着Windows 10，去年有个显卡驱动的安全更新，装完直接黑屏。查了一圈发现是驱动和主板BIOS版本冲突。那之后我学会一件事：高危漏洞的“高危”二字，是对攻击者而言的，不是对你当前使用场景的判决书。

怎么判断？看三点。

第一，你的机器暴露面有多大。如果只是家里打游戏、看网页，路由器后面藏着，微软 Defender 也开着，那多数远程代码执行漏洞的利用条件你根本不满足。攻击者得先能碰到你的445端口或者RDP端口，而运营商早就把这些封了。但如果你跑着公网IP的服务器、挂着NAS、或者公司内网里共享了一大堆文件夹，那别犹豫，补丁该打就打。我见过一个做跨境电商的，为了远程办公方便，把3389端口映射到公网，结果被挖矿木马当成了自助餐厅。

第二，漏洞利用的“武器化”程度。有些漏洞公布时只是理论上的，PoC 代码跑起来还得关掉一堆保护机制。但像 Log4j2 那种，公开当天就有现成的利用工具，脚本小子都能上手。这种时候拖一天都是风险。反过来，某些漏洞需要攻击者已经拿到本地低权限账户才能提权——你都已经被入侵了，修不修这个漏洞区别不大，先查怎么被进来的吧。

第三，修复带来的副作用你能不能扛。我认识一个做音频后期的，他的声卡驱动和某个Windows安全更新天生犯冲，每次装完都爆音。他的做法是：单独屏蔽那个补丁，但把防火墙规则收紧，禁用所有不必要的服务。这叫补偿性控制。不是所有漏洞都必须靠打补丁解决，关掉用不上的端口、给账户降权、开个杀软，都能把风险压到可接受范围。

还有一类情况容易被忽略：老旧系统。我表弟的笔记本还在跑Windows 7，微软早就不发补丁了。高危漏洞列表对他而言就是一张废纸——没有官方修复，第三方补丁又不敢乱装。他的选择是：不连公共WiFi、不插陌生U盘、浏览器锁死在沙箱里。用他的话说，“知道自己裸奔，就别往枪林弹雨里钻。”

所以回到开头那个问题。我的习惯是：看到高危漏洞提示，先别急着点“立即修复”。花两分钟看看漏洞描述，搜一下“漏洞编号 + 蓝屏”或者“漏洞编号 + 兼容性问题”。如果搜出来一堆人喊“更完就崩”，那就先放着，把网络防护做足。如果搜出来的是“已发现在野利用”，哪怕冒着蓝屏风险也得修——蓝屏能重装，数据被加密了可没处哭去。

最后说个反直觉的观察。很多人觉得“高危”等于“必须马上修”，但实际统计里，大量被利用的漏洞其实是中低危的——因为攻击者专挑那些大家觉得“不急”的漏洞下手。高危漏洞反而因为关注度高，修复率也高。所以别只盯着那个红色感叹号，定期检查更新、保持良好上网习惯，比纠结某一次要不要点修复重要得多。

我那个视频剪辑朋友后来装了双系统。一个系统专门干活，关闭自动更新，用防火墙白名单锁死；另一个系统裸奔，随便更新，只用来上网。他说这叫“把风险和便利分开”。我觉得挺聪明。漏洞修复从来不是非黑即白的事，它是一场关于时间、便利和安全的持续谈判。