我上个月给一家本地连锁超市做安全巡检，未修发现他们的漏洞会员系统里有个SQL注入漏洞，能直接拖出全量会员的未修手机号和家庭住址。对方IT负责人听完，漏洞第一反应是未修问我“能不能先不修，等月底会员日过了再说”。漏洞

这不是未修个例。漏洞被知道和漏洞被修复之间，漏洞隔着一条巨大的未修鸿沟。我见过某政务App的漏洞越权漏洞挂了大半年，原因是未修“排期要到下个季度”；见过某银行内部系统的弱口令问题被反复上报，但运维组觉得“改密码要通知几百号人太麻烦”。漏洞最离谱的未修是个物联网设备厂商，他们的漏洞固件里藏着硬编码后门，被发现后居然选择在下一个版本里“悄悄删掉”，未修而不是发安全公告——因为怕影响股价。

为什么修一个漏洞这么难？表面上说是资源不够、优先级低，实际上多数情况是“不疼”。漏洞不像服务器宕机那样立刻产生尖叫，它更像是墙角的裂缝——你知道它在，但今天不漏雨，就不想动锤子。有个制造业客户跟我说过一句实话：“我们产线停一分钟损失六位数，但数据泄露了，只要不上新闻，谁知道呢？”

这种心态催生了一种奇怪的时间观。安全研究员报漏洞，厂商回一句“已知悉”，然后就没了下文。你催，他说在评估；你再催，他说在走流程；等过了半年，漏洞还在那儿，甚至连最初的报告邮件都被系统归档了。我有个朋友在甲方做安全负责人，他手机里存着一张截图——某漏洞从提交到修复用了整整427天，中间跨了三个版本迭代，每次发版说明里都写着“包含安全优化”。

更讽刺的是，有些漏洞其实修起来很简单。一行代码的事，改个配置的事，但就是没人动手。原因往往不是技术难度，而是组织惯性——负责修的人怕改了之后影响业务功能，负责批的人怕担责任，负责测试的人排期排到下个月。于是漏洞就在流程的缝隙里躺着，像一颗没拉弦的手雷，谁都知道它在那儿，但谁都不想碰。

我印象最深的是一个老旧的医院挂号系统，登录接口没有任何速率限制，可以无限暴力破解。我把问题报给信息科，对方说“这系统是十年前外包做的，原公司都倒闭了，我们没人会改”。后来我建议他们在前面加个网关做限流，他们说“那得申请预算，走采购流程”。三个月后我再问，他们答：“还在走流程。”

漏洞不修，往往不是因为不能修，而是因为修它这件事本身，在组织里找不到一个愿意拍板的人。安全团队报了，业务部门说“影响用户体验怎么办”，管理层说“年底再说吧”，研发说“这代码不是我写的”。一圈推下来，漏洞就成了一个大家都知道的秘密。

所以你看，真正危险的从来不是漏洞本身，而是那种“知道了但装作没事”的默契。等哪天真被利用了，第一反应不是检讨自己为什么没修，而是抱怨“黑客怎么这么坏”。说到底，漏洞躺在那里，就像家里的煤气阀有点松——你每天都能闻到一丝若有若无的味道，但就是懒得叫师傅上门。直到某天爆了，你才后悔当初那通电话没打。