上周三凌晨两点，电脑我在给一台服役五年的漏洞老笔记本装驱动。系统提示有十七个高危漏洞待修复，不修我点了“全部更新”，电脑然后眼睁睁看着进度条在百分之三十七卡了四十分钟。漏洞屏幕幽幽地亮着，不修风扇转得像直升机。电脑那一刻我忽然想：这些漏洞，漏洞真的不修都该修吗？

先说个反常识的事实。微软每月第二个周二发布补丁，电脑业内叫“Patch Tuesday”。漏洞可就在去年，不修某个知名杀毒软件厂商自己推送的电脑更新，直接导致全球八千台POS机蓝屏——收银台集体死机，漏洞超市排起长队。不修那场景，比病毒攻击还壮观。你问漏洞要不要修？修了可能更糟。

但你要因此不修，那就是把自己裸奔在互联网上。去年爆出的Log4j漏洞，一个日志库的bug，让全世界无数服务器门户大开。有个朋友的公司，运维觉得“这库用了八年从没出事”，结果被黑客用一条特制请求打穿，数据库被加密勒索。他后来跟我说：要是早打补丁，那二十万赎金够买十年奶茶。

问题在于，漏洞修复从来不是无脑点“更新”那么简单。我自己踩过坑：给工作机装了个安全补丁，结果跟公司内部的ERP系统不兼容，所有报表乱码。IT部门排查了两天，最后发现是补丁改了某个底层API的行为。那两天，全部门的人对着Excel表格发呆，效率直降百分之八十。

所以我的态度很明确：分情况，看环境，别一刀切。

家用电脑，尤其是不放敏感资料的，你爱修不修——系统自动更新开着就行，偶尔手动点一下也不费事。但你要是用网银、存照片、连智能家居，那高危漏洞必须第一时间修。这不是技术问题，是概率问题。黑客不会专门盯着你，但他们会用扫描器全网扫，撞上一个算一个。

企业环境复杂得多。核心服务器、数据库，补丁要测了再打，先在测试环境跑两天，看有没有兼容性问题。我认识一个银行的老哥，他们行里打补丁有一套流程：先内部小范围试点，再推给非核心业务，最后才轮到生产系统。整个过程要三周。他说得实在：“我们宁可慢，不能错。宕机五分钟的损失，够买几百个补丁了。”

倒是那些个人开发者和小公司，最容易翻车。我见过一个独立开发者，网站被植入挖矿脚本，因为他懒得更新WordPress插件。修个漏洞十分钟的事，他拖了半年，结果服务器CPU天天满载，账单翻了三倍。这账算下来，偷懒的成本远高于修复的成本。

还有个容易被忽略的点：有些漏洞不是技术漏洞，是“设计漏洞”。比如某个软件默认允许弱密码，你打补丁也修不了——得改配置。再比如物联网设备，厂家停止维护了，漏洞永远存在。这种时候，最靠谱的方案是换设备，而不是指望补丁。

说回我自己。那台老笔记本，更新装完后重启，系统倒是流畅了不少。但第二天我发现，原来能用的某个破解版软件被补丁干掉了。我花了一下午找替代品，最后换了个开源工具，功能反而更强。你看，有时候漏洞修复逼着你做升级，未必是坏事。

最后说句实在的。别迷信“修复一切”的按钮，也别当鸵鸟无视高危警告。你得知道自己的系统里跑着什么，哪些数据丢不得，哪些服务断了会出事。然后按风险排序：高危的、暴露在公网的、连着钱的，优先修；边缘的、内部的、备用的，可以缓缓。

漏洞这东西，就像房子里的裂缝。有的裂缝在承重墙上，得马上补；有的在装饰面，看着吓人但不影响住。你得自己当那个判断的人，而不是把锤子交给任何一个自动更新程序。