凌晨两点十七分，安全某电商平台的漏洞数据库突然开始疯狂向外传输数据。安全团队调出日志，查询发现攻击者利用的安全漏洞编号是CVE-2023-4567——一个已经公开了四个月的老漏洞。补丁早在三个月前就发布了，漏洞但没人打。查询

这大概就是安全安全漏洞查询最讽刺的地方：我们总以为漏洞是黑客发现的秘密，实际上大多数被攻破的漏洞系统，都死于公开的查询、可查询的安全、甚至被反复警告过的漏洞漏洞。查询漏洞本身不难，查询难的安全是有人愿意去查。

国家信息安全漏洞共享平台（CNVD）每天更新几十条新漏洞，漏洞美国NVD的查询数据库里躺着超过二十万条记录。这些数据完全开放，谁都能查。可你随便找个运维问问，上次主动查漏洞是什么时候？多半答不上来。更常见的情况是：系统被打了，才急急忙忙去搜“XX系统漏洞修复”，然后发现漏洞公告挂着半年了。

有个朋友在制造业做IT，他们工厂的控制系统用的是某国产软件。去年年底厂商发了安全通告，说有个远程执行漏洞，CVSS评分9.8，属于最高危级别。朋友把通告转给领导，领导回复“知道了”。为什么？因为产线不能停，打补丁要重启系统，重启一次损失几十万。这个漏洞至今还在那挂着，像一颗没炸的雷。

漏洞查询工具倒是越做越好了。现在有自动化扫描器，能把你整个网段的资产过一遍，自动比对漏洞库，出报告。但工具能查到的只是已知漏洞。真正要命的，是那些还没有编号、没有补丁、甚至没人发现的0day。查询系统对0day无能为力，这就像查天气预报能告诉你明天有雨，但没法预测哪片云彩会突然下冰雹。

我见过最荒唐的一次，是某单位的内网系统被入侵，排查原因时发现，攻击者利用的漏洞居然在五年前就被公开了。五年啊，足够一个婴儿学会走路说话。那系统上的补丁还是没打。问为什么，管事的说“觉得不联网就没事”。内网不等于安全，这话说了无数遍，照样有人不信。

说句实在话，安全漏洞查询这事，技术含量真不高。搜个CVE编号，查下影响版本，看看修复方案，谁都能干。难点在于：你得承认自己的系统有问题，然后愿意花时间去做那些看不见收益的维护工作。这跟体检一个道理——明知道熬夜不好，明知道该去查查血脂血压，但总觉得“等有空再说”。等真进了医院，后悔都来不及。

写这段文字的时候，全球大概又有几十个新漏洞被登记在册。它们安静地躺在数据库里，等着被某个运维看见，或者被某个黑客利用。区别只在于，谁先动手查。