2023年8月，电脑微软紧急推送了一个补丁，系统修复Windows 10和11里一个叫CVE-2023-36884的漏洞漏洞。这个漏洞当时已经被用在真实攻击里了——攻击者做一个带恶意代码的电脑Word文档，你只要打开它，系统甚至不用点“启用宏”，漏洞系统权限就可能被拿走。电脑我身边一个做安全运维的系统朋友说，他们公司那两天全员加班，漏洞盯着终端日志刷屏，电脑生怕有人中招。系统

漏洞这词听着挺技术，漏洞说白了就是电脑系统里本来不该存在的“口子”。程序是系统人写的，人就会犯错。漏洞有些错误是逻辑写反了，有些是内存没管好，有些是权限检查漏了一步。这些错误平时不显山露水，但一旦被有心人找到，就能变成入侵的入口。

常见的漏洞类型其实就那么几类。缓冲区溢出算是最经典的一种——程序往一个固定大小的容器里塞数据，塞多了就溢出来，覆盖掉旁边的内存区域。攻击者精心构造一段超长数据，覆盖的那部分恰好是程序接下来要执行的地址，于是程序就跑到了攻击者指定的地方。听起来像电影里的情节，但这类漏洞至今还在出现，尤其是C/C++写的底层组件里。

另一类是权限提升。比如一个普通用户账户，本来只能改自己的桌面壁纸，但系统某个服务没检查调用者身份，普通用户就能通过它执行管理员命令。2021年Windows的PrintNightmare漏洞就是典型，打印后台服务权限过高，普通用户能加载恶意驱动，直接拿到SYSTEM权限。那段时间很多企业干脆把打印服务停了，宁可没法打印也不敢开着。

还有一类是逻辑漏洞，不涉及内存破坏，纯粹是业务流程上的疏忽。比如密码重置功能，验证码只验证了“对不对”，没验证“用没用过”，攻击者就能拿同一个验证码反复重置不同账户的密码。这种漏洞扫描器扫不出来，得靠人去看代码逻辑。

漏洞从被发现到被修复，中间有个时间差。这个时间差就是攻击窗口。有些漏洞被厂商知道后，厂商拖了几个月不修，或者修得不彻底，攻击者就盯着这个窗口猛打。Google的Project Zero团队有个“90天披露”政策：发现漏洞后给厂商90天，到期不修就公开细节。这政策逼着厂商加快速度，但也引发过争议——公开细节等于告诉攻击者“这里有个洞，还没补”。

普通用户能做什么？说实话，能做的有限，但也不是完全没有。系统更新别关，那个小红点或者弹窗提示重启，别一直点“稍后”。很多漏洞的利用代码在补丁发布后几天内就会出现在网上，脚本小子拿着就能用。你晚打一周补丁，就等于裸奔一周。浏览器和常用软件也保持自动更新，Chrome和Firefox的更新频率比Windows还高，不是没道理的。

企业环境更复杂。光打补丁不够，还得有终端检测和响应工具，监控异常进程行为。我见过一个案例，攻击者利用一个已经打了补丁的漏洞的变种——补丁修了主路径，但旁边还有条小路没堵上。这种时候，行为监控比签名检测管用。

漏洞不会消失。只要软件还在迭代，只要代码还在写，就会有新的口子冒出来。攻防两端都在跑，谁也没法彻底甩开谁。作为用户，承认这个现实，然后把能做的几步做到位，已经比大多数人强了。