凌晨两点十七分，漏洞高危某云厂商的漏洞高危告警群炸了。一个低权限账号的漏洞高危异常调用，把内部API网关的漏洞高危限流阈值冲垮了——不是攻击者多聪明，是漏洞高危那个接口压根没做鉴权。事后复盘时，漏洞高危工程师发现漏洞在代码仓库里躺了三年，漏洞高危注释写着“后续补上”。漏洞高危

我见过太多这样的漏洞高危“后续”。上个月某银行渗透测试，漏洞高危测试人员用默认口令admin/admin登录了核心业务后台，漏洞高危日志显示过去半年有人用这个账号导出过客户数据。漏洞高危安全团队的漏洞高危解释让人窒息：“这台服务器是外包团队临时搭的，验收时忘了改密码。漏洞高危”

漏洞从来不挑时间。漏洞高危它可能藏在你上周重构的登录模块里，藏在某个同事“先上线再优化”的紧急修复里，甚至藏在供应商提供的第三方SDK里。去年Log4j爆发时，某电商公司花了四十八小时才定位到内部系统引用了受影响版本——没人记得那个依赖是什么时候加进去的。

高危漏洞的本质，是信任与现实的错位。你以为防火墙挡住了所有外部流量，可攻击者早通过钓鱼邮件拿到了VPN权限；你以为代码评审覆盖了所有改动，可某个凌晨的hotfix直接跳过了流程；你以为生产环境与开发环境隔离，可运维图省事把测试库映射到了公网。

有个细节我始终忘不掉。某次应急响应，攻击者利用的漏洞是三个月前就被公开的已知漏洞，CVE编号都挂在国家漏洞库首页。被问及为何没修复时，系统负责人挠着头说：“补丁要重启服务，业务部门不让停。”——你看，漏洞从来不只是技术问题。

真正的危险在于，我们对漏洞的感知总是滞后。就像家里漏水，你先是听到滴答声，等天花板塌下来时，水已经泡坏了整面墙。安全圈流行一句话：“你不是被攻破的，你是被通知被攻破的。”中间那段空白期，攻击者早就完成了横向移动、权限提升、数据窃取，甚至顺手把日志清了。

写这些不是贩卖焦虑。我只想说，下次看到漏洞扫描报告里那个红色的“高危”标记时，别急着甩给开发团队。先问问自己：这个系统上线时做过安全测试吗？默认口令改了吗？日志监控有人看吗？如果答案都是否定的，那恭喜你——你正坐在一个定时炸弹上，而倒计时的声音，早就响过了。