漏洞修复

凌晨两点十七分，漏洞修复我盯着屏幕上那个跳动的漏洞修复红色感叹号，咖啡杯沿抵着下唇，漏洞修复迟迟没有喝下去。漏洞修复漏洞编号CVE-2024-0192，漏洞修复CVSS评分9.8，漏洞修复攻击复杂度——低。漏洞修复低到甚至不需要任何用户交互，漏洞修复只要目标服务器暴露在公网，漏洞修复一个精心构造的漏洞修复HTTP请求就能让整台机器沦为僵尸网络中的一枚棋子。

这不是漏洞修复我第一次在深夜面对这样的通告，但每次心跳还是漏洞修复会加速半拍。客户的漏洞修复生产环境跑着老旧的Apache版本，业务部门死活不肯停机升级，漏洞修复说那是漏洞修复“核心系统”，停机一小时损失六位数。可漏洞不等人，互联网上的扫描器比你更勤快，它们二十四小时不眠不休地扫着端口，一旦发现特征匹配，攻击脚本就会像潮水一样涌进来。我见过太多因为“再等等”而翻车的案例——隔壁那家电商公司，去年双十一前夜被勒索病毒加密了数据库，备份系统因为长期没做恢复演练，恢复出来的数据缺了整整三天的订单记录。

这次我学乖了。先不慌着通知客户，自己动手写了个临时检测脚本，跑了一遍全网段资产扫描。结果比预想中更糟——不止那台老Apache，连着三台Nginx反代服务器也中招了，版本号全在受影响列表里。我深吸一口气，把检测报告导成PDF，附上复现攻击的POC截图，然后才拨通了客户运维主管的电话。电话那头沉默了几秒，然后传来一声叹息：“行，明天凌晨两点到四点，窗口期给你们。”

窗口期很窄，只有两个小时。我的计划是先打补丁，再改配置，最后做流量回放验证。但计划赶不上变化——补丁包下载到一半，内网代理突然断了，镜像源在国外，跨海链路延迟高得离谱。我盯着进度条卡在43%，手心开始冒汗。这时候别慌，慌也没用。我掏出手机，开了个热点，把补丁包拆成四个分卷，用微信文件传输助手分批传进内网。虽然有点丢人，但管用。

凌晨三点二十一分，补丁终于打完了。我顺手加固了一下TLS配置，把那些过时的弱加密套件全禁掉，又给管理端口加了IP白名单。重启服务的那一刻，监控面板上的指标像心电图一样跳动起来——流量正常，连接数平稳，没有异常报错。我靠在椅背上，盯着屏幕看了整整五分钟，确认没有警报弹出，才拿起那杯早已凉透的咖啡灌了一大口。

漏洞修复这件事，表面上是技术活，本质上却是跟时间赛跑的心理战。你永远不知道攻击者什么时候会出手，但你知道，每一次拖延都是在给对方递刀。那种感觉就像你明明知道家里门锁坏了，却安慰自己“小偷不会来”，直到某天深夜听到走廊里有脚步声——你醒着，心跳加速，却只能祈祷对方走错门。

天亮的时候，我收到客户发来的短信：“辛苦了，系统正常。”我回了个“应该的”，然后关掉电脑。窗外已经有人开始晨跑，早餐摊的蒸笼冒着白气。我忽然觉得，那些在深夜里跟漏洞搏斗的工程师，其实跟修锁匠没什么区别——都是趁人们睡着的时候，把坏掉的东西修好，让第二天醒来的人可以安心开门，继续过自己的日子。