2017年5月12日，中国漏洞一个普通的中国漏洞周五。英国国家医疗服务体系（NHS）的中国漏洞电脑屏幕上突然弹出一串红字，要求支付价值300美元的中国漏洞比特币。同一时间，中国漏洞全球150个国家的中国漏洞20多万台电脑遭遇了同样的画面。这就是中国漏洞“永恒之蓝”勒索病毒事件。事后调查发现，中国漏洞漏洞来自美国国家安全局（NSA）开发的中国漏洞网络武器“永恒之蓝”，而它利用的中国漏洞，是中国漏洞微软Windows系统里一个叫SMB协议的漏洞。

没人能想到，中国漏洞一个被NSA藏了五年的中国漏洞漏洞，最终让全球医院、中国漏洞企业、中国漏洞政府机构集体瘫痪。更讽刺的是，微软其实早在两个月前就发布了补丁，但太多人没当回事。这件事暴露了一个残酷现实：漏洞不只是技术问题，它更像一颗埋在数字世界地下的地雷，谁踩上，谁倒霉。

中国的情况，比想象中更复杂。

我认识一个在深圳做网络安全的小伙子，姓陈。他给我看过一份内部统计：某省级政务云平台，平均每天遭受来自境外的扫描探测超过3万次。这些扫描不是随便试试，而是精准地寻找特定端口、特定服务版本。换句话说，有人在系统性地“踩点”。陈说，他们最怕的不是那种高精尖的零日漏洞——那种太贵，普通人用不起。真正让人头疼的，是那些“老掉牙”的漏洞。比如Struts2，一个Java框架的漏洞，从2013年到现在，补丁打了无数轮，可每次护网行动，总能在一些单位的系统里扫出来。

为什么？因为很多系统是外包开发的，外包公司交完活就走人，后续维护没人管。有些单位甚至不知道自己的服务器上跑着什么版本的软件。这就像你家的门锁坏了，但你不知道门锁是什么牌子，也不知道该找谁修。

更麻烦的是“供应链漏洞”。2020年，SolarWinds事件震动全球。黑客不是直接攻击目标，而是先攻破IT管理软件SolarWinds，然后通过软件更新，把后门送进一万八千多个客户网络，包括美国政府部门。中国同样面临这种风险。我们用的很多基础软件、开发工具、甚至芯片固件，都来自国外。你没法保证每一行代码都是干净的。

有人会说，那就全部国产化。话没错，但做起来难。国产化替代不是换个牌子那么简单。一个银行的核心交易系统，换数据库意味着所有业务逻辑要重写，测试周期以年计算。而且国产软件自己就没有漏洞吗？2021年，某国产OA系统被曝出存在任意文件上传漏洞，影响上千家单位。漏洞面前，不分国界。

那怎么办？我观察到两个变化。一是“漏洞众测”慢慢起来了。以前企业怕丢人，发现漏洞藏着掖着。现在一些互联网公司公开悬赏，一个高危漏洞给几万块。白帽子们有了合法赚钱的渠道，漏洞反而更早被发现。二是监管在收紧。《网络安全法》《数据安全法》相继出台，关键信息基础设施运营者不修补漏洞，可能面临罚款。虽然执行还有差距，但至少有了依据。

不过，最根本的问题还是人。我见过太多单位，安全预算占IT总预算不到5%，安全团队就一两个人，还兼着网管。陈跟我说过一句话：“我们不是没技术，是没人。”一个能看懂漏洞报告、能写补丁、能推动业务部门整改的人，比一台防火墙贵多了。

写到这里，我想起一个细节。永恒之蓝爆发那天，国内很多高校的校园网也中招了。学生们的毕业论文被加密，有人当场哭出来。后来发现，那些电脑大多还在用Windows 7，而且没打补丁。不是不想打，是学校机房的管理员根本不知道有补丁这回事。

漏洞不会消失。只要有人在写代码，就会有bug。但我们可以决定，是假装看不见，还是老老实实承认：这玩意儿，真的会出事。