2017年5月12日，WannaCry勒索病毒横扫全球。英国国家医疗服务体系（NHS）超过三分之一的医院被迫停诊，手术取消，救护车改道。西班牙电信、联邦快递、雷诺工厂一个接一个中招。事后统计，150多个国家、超过20万台设备被加密，攻击者索要的赎金是比特币，每个受害者300到600美元不等。

这件事最讽刺的地方在于：微软早在两个月前就发布了修复补丁。但大量机器没打。为什么？因为那些机器跑的是Windows 7。

一个补丁，两种命运

微软在2017年3月发布了MS17-010安全更新，修复的是SMBv1协议中的一个远程代码执行漏洞，编号CVE-2017-0144。这个漏洞允许攻击者通过445端口直接向目标机器发送特制数据包，无需用户任何操作就能拿到系统控制权。Windows 10用户通过自动更新基本都打上了。Windows 7呢？大量企业内网机器根本没开自动更新，有些甚至还在用Windows XP——微软对XP早已停止支持，最后破例为XP也发了补丁，因为WannaCry的破坏力实在太大。

WannaCry用的武器叫EternalBlue（永恒之蓝），来自美国国家安全局（NSA）被泄露的黑客工具包。换句话说，这个漏洞本来是情报机构用来攻击别人的，结果被人偷出来反过来打普通人。

Windows 7为什么成了重灾区

Windows 7在2015年结束了主流支持，2020年1月14日彻底停止扩展支持。停止支持意味着什么？不再有安全补丁，不再有漏洞修复。你的系统就像一栋不再维修的房子，窗户破了没人管，门锁坏了没人换。

但Windows 7的市场份额直到2019年仍然高达30%以上。企业是最大的滞留群体。一套内部业务系统跑在Windows 7上，迁移成本动辄几十万甚至上百万，很多公司选择拖着。医院、工厂、政府机构、银行网点——这些地方对稳定性要求极高，对升级极度保守。

我见过一个真实案例：某制造企业的生产线控制电脑还在跑Windows 7，因为配套的工控软件只兼容这个版本。IT部门知道有风险，但停产改造的代价比中毒的代价更高。这种逻辑听起来荒谬，但在工业场景里非常普遍。

漏洞不只是漏洞本身

Windows 7的麻烦不仅仅是某一个CVE。它的安全架构整体落后于时代。比如，Windows 7没有Credential Guard（Windows 10引入的凭据保护机制），没有基于虚拟化的安全隔离，内核级别的攻击面比Win10大得多。攻击者一旦拿到一个普通用户权限，提权到SYSTEM的路径也更多。

另一个被忽视的点：Windows 7默认开启SMBv1。这个1980年代设计的协议，在今天的网络环境里简直是敞开的大门。WannaCry之后，很多企业才手忙脚乱地禁用SMBv1，但有些老旧应用依赖它，一禁就出故障。

还在用Win7的人该怎么办

如果你现在还有Windows 7设备在跑，第一件事：断网或隔离。不要让它直接暴露在公网。第二，如果必须联网，至少把445端口封死。第三，微软为Win7提供的最后一批补丁里包含了对EternalBlue的修复，确认一下有没有装上。第四，认真评估迁移计划——不是“以后再说”，是给出明确时间表。

有人说“我用了这么多年Win7也没中过毒”。这话跟“我开车没系安全带也没出过事”是一个逻辑。概率没砸到你头上，不代表风险不存在。WannaCry爆发那天，很多中招的人前一天也是这么想的。

Windows 7是一个时代的产物，它稳定、好用、兼容性强。但安全这件事不讲究情怀。一个不再收到补丁的操作系统，每多跑一天，风险就多累积一天。这不是危言耸听，是WannaCry用20万台机器换来的教训。