Windows 自带的 Windows Update 其实是最该被信任的那个。别急着反驳，复系我见过太多人为了“优化”把它关了，统漏结果半年后勒索病毒找上门，软件哭都来不及。有修它推送的复系补丁不一定最快，但至少微软自己知道漏洞在哪、统漏怎么堵。软件去年我帮朋友处理一台中毒的有修旧笔记本，开机后第一件事就是复系重新打开自动更新，装完积压的统漏 47 个补丁，再扫描，软件干净了。有修

第三方工具里，复系360 安全卫士和腾讯电脑管家是统漏绕不开的。骂它们的人多，但普通用户图省事，一键修复漏洞确实方便。我观察过它们的补丁库，对国内常见软件（比如老版本 Flash、Office 精简版）的覆盖比微软自己还全。不过你得忍受弹窗和捆绑——我一般装完就关掉开机启动，只留漏洞修复模块。火绒安全是另一条路子，安静、不打扰，补丁推送偏保守，适合懂点电脑的人。有个做运维的朋友，公司两百多台机器全用火绒企业版，他说“至少不会半夜给我推游戏广告”。

企业环境里，WSUS（Windows Server Update Services）和 SCCM 是标配。我待过的一家制造企业，IT 部门用 WSUS 统一审批补丁，先在小范围测试，确认没问题再推全公司。这法子笨，但稳。有次微软推了个补丁导致某台老式数控机床的工控软件蓝屏，他们靠 WSUS 的回滚功能两小时就恢复了。个人用户用不上这么重的方案，但可以学思路：别一看到更新就点，等两天看看论坛反馈。

开源工具方面，apt、yum、pacman 这些包管理器本身就是漏洞修复软件。Linux 用户应该熟悉 unattended-upgrades，配置好之后自动装安全更新，不用天天手动敲命令。我自己的 Ubuntu 服务器就开了这个，有次凌晨三点自动打了 OpenSSL 的补丁，早上起来看日志才知道。Windows 上也有开源替代，比如 WUMT（Windows Update MiniTool），能绕过系统更新的一些限制，手动挑选补丁。不过它已经很久没更新了，慎用。

还有一类专门针对特定漏洞的修复工具。比如“永恒之蓝”爆发时，360 和腾讯都出了离线补丁包，专门给不能联网的内网机器用。我当时在客户现场，用 U 盘拷了补丁挨个装，装完重启，前后折腾了四个小时。这种工具平时用不上，但关键时刻能救命。另外像 Microsoft Safety Scanner 和 Malicious Software Removal Tool，微软官方出的，扫描恶意软件的同时会顺带修复被利用的系统漏洞，适合应急。

浏览器漏洞也别忽视。Chrome 和 Firefox 的自动更新默认开着，但国内有些“优化版”会阉割更新模块。我见过一台电脑，Chrome 版本停留在 78，访问某个挂马网站直接中招。后来用 ChromeCleanupTool 清掉恶意扩展，再手动装最新版才解决。所以，别用第三方修改的浏览器，原版最安全。

最后说个冷门的：Secunia Personal Software Inspector（现在叫 Flexera Software Vulnerability Manager）。它能扫描你电脑上所有软件，不光系统，连 Adobe Reader、Java 这些第三方程序的漏洞都管。我试用过一阵，发现它比 Windows Update 多找出 11 个漏洞，全是老旧软件没升级导致的。可惜免费版功能有限，个人用户可以用 Patch My PC 替代，免费、轻量，一键更新几十种常用软件。

说到底，修复漏洞的软件分三层：系统自带的最可靠，第三方工具图方便，开源方案适合折腾。别指望一个软件解决所有问题，组合着用。我自己的习惯是：Windows Update 常开，火绒做补充，每季度用 Patch My PC 扫一遍。这么些年，没中过招。