软件漏洞叫什么？软件这个问题听起来像是一句废话——漏洞就是漏洞，还能叫什么。漏洞但真去翻一翻安全圈的软件黑话，你会发现它有一大堆名字，漏洞而且每个名字背后都藏着一段具体的软件、带血的漏洞故事。

最常用的软件一个词是 Bug。这个词的漏洞来历挺有意思。1947年，软件哈佛大学的漏洞马克二号计算机出了故障，工程师在里面找到一只飞蛾，软件把它粘在日志本上，漏洞旁边写了一句“第一个发现虫子的软件实际案例”。从此程序里的漏洞错误就被叫成 Bug。不过说实话，软件这只飞蛾有点被过度消费了，因为“bug”这个词在工程界早就在用，爱迪生1878年就在信里写过“bug”指代技术故障。但没关系，故事好听就够了。

比 Bug 更严重的叫 Vulnerability，中文翻成“脆弱性”或者“漏洞”。这两个词经常混着用，但老手会分得很清。Bug 是代码写错了，比如循环条件写反了，导致程序崩溃。Vulnerability 是代码没写错，但设计上留了后门。比如一个登录接口，逻辑完全正确，但它允许无限次尝试密码，这就是脆弱性——功能没问题，安全性有问题。

再往上走，有个词叫 Exploit，中文叫“利用程序”或者“漏洞利用”。这不是漏洞本身，而是利用漏洞的那段代码或那套方法。打个比方，墙上的裂缝是 Vulnerability，你拿根撬棍顺着裂缝把墙撬开，那根撬棍就是 Exploit。安全圈有句话：没有 Exploit 的漏洞，就像没有子弹的枪，吓人但不致命。

还有一个词叫 CVE，全称是 Common Vulnerabilities and Exposures。这其实是一套编号系统，给每个公开的漏洞发一个身份证。比如 CVE-2021-44228，就是2021年发现的第44228号漏洞，也就是臭名昭著的 Log4Shell。这个编号系统由 MITRE 公司维护，全球的安全团队都靠它来同步信息。没有 CVE 编号的漏洞，在圈子里基本等于不存在——你没法跟别人说“那个漏洞”，只能说“我遇到一个奇怪的现象”，沟通成本极高。

零日漏洞，Zero-Day，这个词最唬人。它指的是厂商还不知道、或者知道了但还没补丁的漏洞。为什么叫零日？因为从发现到被利用，中间没有一天缓冲。攻击者已经在打了，防守方连补丁都没有。2010年震网病毒用的就是四个零日漏洞，把伊朗核设施的离心机搞坏了。那会儿安全圈炸了锅，因为大家第一次意识到，漏洞可以当武器用，而且比导弹还精准。

国内安全圈还有个土话叫“洞”。比如“今天挖到一个洞”“这个洞能拿权限”。听起来像挖宝，实际上也差不多。挖洞的人叫“白帽子”，卖洞的人叫“黑产”，补洞的人叫“运维”——运维经常是最后一个知道的。我认识一个运维，凌晨三点被叫起来打补丁，打完发现是测试环境，骂了半小时。

最后说一个词：逻辑漏洞。这个词最容易被忽略。它不是内存溢出，不是缓冲区错误，而是业务流程上的缺陷。比如一个电商网站，你下单后把价格参数从100改成1，系统居然接受了。这不是代码写错，是设计时没考虑有人会改参数。逻辑漏洞往往比技术漏洞更致命，因为防火墙拦不住——请求看起来完全正常。

所以软件漏洞叫什么？叫 Bug，叫脆弱性，叫 CVE，叫零日，叫洞。每个名字都是一群人熬夜、吵架、写报告、打补丁的缩影。下次听到有人说“有个洞”，别以为他在说袜子。