2017年5月12日，洞补丁全WannaCry勒索病毒爆发当天，洞补丁全国内大量还在跑Windows 7的洞补丁全机器中招。医院挂号系统瘫痪、洞补丁全学校机房文件被加密、洞补丁全企业内网一片狼藉。洞补丁全那时候微软其实已经在两个月前停止了对Win7的洞补丁全常规安全更新支持（2020年1月才彻底终止扩展支持），但面对这场灾难，洞补丁全微软破例给已经停止支持的洞补丁全XP和Win7推送了MS17-010补丁。问题在于——很多人根本没装。洞补丁全

这就是洞补丁全Win7补丁这件事最要命的地方：不是没有补丁，而是洞补丁全补丁散落在十几年的更新历史里，没人告诉你该装哪些。洞补丁全

补丁不是洞补丁全越多越好，关键看几个节点

Win7从2009年发布到2020年退役，洞补丁全微软累计推送了上千个补丁。全装？不现实，也没必要。真正需要盯住的是几个关键补丁。

KB4474419和KB4490628，这两个是SHA-2代码签名支持的补丁。2019年之后微软把所有更新都改成了SHA-2签名，不装这两个，后续补丁全部安装失败。很多人卡在这一步，以为是系统问题，其实就是缺了这俩。

KB3125574，俗称“便利汇总包”，把SP1之后到2016年4月的大部分补丁打包在一起。装完SP1再装这个，能省掉几百次重启。不过它不包含所有补丁，装完后还得手动补几个。

KB4534310是Win7最后一个月度安全汇总（2020年1月），也是微软官方推送的最后一个常规补丁。KB4539602是2020年2月的仅安全更新，修复了壁纸显示黑色的问题——这个补丁有点特殊，它是Win7 ESU（扩展安全更新）之外的最后一个免费补丁。

ESU那三年，补丁还在出，只是要花钱

2020年1月到2023年1月，微软通过ESU计划继续给Win7推送安全补丁，但只面向付费企业用户。个人用户想装？网上流传的“BypassESU”工具就是干这个的，绕过验证直接装ESU补丁。2023年1月之后，ESU也停了，Win7彻底没有官方安全更新。

我自己的做法是：找一台干净虚拟机装好Win7 SP1，按顺序打KB3020369、KB3125574、KB4474419、KB4490628，然后用WSUS Offline或者UpdatePack7R2这类工具一次性补全。UpdatePack7R2是俄罗斯人做的整合包，更新很勤快，到2023年还在维护，直接把所有补丁和运行库打包成一个exe，装完重启就行。省事，但来源不是微软官方，介意的话就别用。

补丁装完还得堵几个洞

补丁归补丁，Win7本身有些设计缺陷补丁也救不了。SMBv1协议默认开着，WannaCry就是走这个进来的。装完MS17-010之后，最好手动把SMBv1关掉。还有远程桌面，默认端口3389暴露在公网上就是活靶子，改端口或者加VPN。

另外，IE浏览器在Win7上最高只能到IE11，微软早就停止支持了。很多补丁是通过IE推送的，装补丁前确保IE11和根证书更新到位，不然会出现“不支持的浏览器”导致更新失败。

现在还在跑Win7的机器，怎么办

如果是内网隔离环境，补丁打到KB4534310基本够用，把SMBv1关了，别插外网U盘。如果必须联网，说实话，Win7已经不适合了。浏览器、杀毒软件、办公软件都在陆续放弃Win7支持，Chrome 110之后就不给Win7更新了，Edge也早停了。

实在换不了系统，至少把补丁打全。别指望某个“万能补丁包”解决一切，补丁之间有依赖顺序，跳着装大概率失败。最稳的路子还是：SP1 → KB3020369 → KB3125574 → SHA-2两个补丁 → 最后一个月度汇总，然后按需补漏。

Win7是个好系统，但好系统不等于安全的系统。补丁能补的只是已知漏洞，补不了的，是时间。

(责任编辑：娱乐)