微软在2021年披露了一个存在于Exchange Server中的漏洞漏洞，编号CVE-2021-26855。不修补丁发得很快，漏洞三天之内就推送到所有受支持的不修版本。但直到今天，漏洞全球仍有超过六万台服务器没有打上这个补丁。不修这不是漏洞猜测，是不修安全研究员通过扫描公网IP得出的数字。六万台机器就那么开着，漏洞像一排没锁的不修门，谁都能推开。漏洞

我认识一个在制造业做IT运维的不修人，姓周。漏洞他们厂里有一套2013年上线的不修ERP系统，跑在Windows Server 2008 R2上。漏洞微软早就停止支持这个系统了，但厂里没人敢动。为什么？因为这套ERP是当年花八十万找外包公司定制的，数据库结构、接口逻辑、报表模板全绑死在那个环境里。升级操作系统意味着整套系统要重新部署，外包公司早倒闭了，源代码都不知道在谁手里。周师傅跟我说：“我知道有漏洞，但修不了。修了，产线就停了。”

这就是漏洞不修复的真实逻辑。它不是懒，不是无知，而是一笔算不过来的账。

安全行业习惯把补丁管理说得像刷牙一样简单——每天做一次，不费事。但真实世界里，一台服务器上跑着的东西可能牵扯到五六个部门、十几年前的技术决策、已经离职的开发者、还有下个月就要交付的订单。打补丁需要停机窗口，停机意味着停产，停产意味着违约。你让一个厂长在“可能被黑客攻击”和“确定会损失两百万”之间选，他闭着眼睛都会选前者。

更麻烦的是，有些漏洞根本没法通过打补丁解决。比如很多工业控制系统用的还是串口通信，协议本身就没有加密和认证机制。你就算把操作系统的补丁全打上，那个串口协议还是裸奔的。要修，得把整个控制网络换掉，把PLC换掉，把传感器换掉。这不是修漏洞，这是重建工厂。

还有一种情况：补丁本身会带来新问题。2019年，某家银行给核心交易系统打了一个安全补丁，结果导致批量代发工资的接口超时。三千多家企业的工资晚发了六个小时。事后复盘，那个补丁修改了一个底层的加密库，而银行的老代码正好依赖那个库的一个非标准行为。你说这补丁该不该打？打之前谁能预测到？

所以“漏洞不修复”这件事，外面的人看是态度问题，里面的人看是生存问题。安全团队说要修，业务团队说不行，最后往往是安全团队妥协——因为业务停摆的后果是立刻可见的，而被攻击的后果是概率性的。人天生对确定性损失更敏感。

但这不代表我们就该躺平。我见过一个比较务实的做法：把系统按重要性分级。核心交易系统，必须修，停机窗口提前三个月跟业务部门谈；边缘的报表系统，先隔离，限制访问来源，用防火墙规则把攻击面缩小；实在动不了的遗留系统，至少做流量监控，一旦发现异常行为就手动切断。这不是完美方案，但比“知道有洞却假装看不见”强。

说到底，漏洞管理不是技术问题，是资源分配问题。你手里只有这么多人、这么多停机时间、这么多预算，怎么在风险、成本和业务连续性之间找平衡点。那些没修的漏洞，每一个背后都有一堆说不出口的难处。骂他们不负责任很容易，但坐到那个位置上，你未必能做得更好。

周师傅那套ERP系统后来还是出事了。2022年夏天，勒索软件加密了数据库，产线停了四天。老板问他为什么不早修，他说：“我三年前就写了报告，你签了字说暂缓。”老板不说话了。你看，漏洞不修复这件事，从来不是某一个人的错，而是一连串决策叠加的结果。每一个决策在当时看都有道理，但加在一起，就是一个敞开的门。