2018年那个补丁包，漏洞我是补丁包在一个已经关停的论坛存档里翻出来的。文件名就叫“xp漏洞补丁包2018”，漏洞压缩后不到60MB，补丁包解压出来一堆.msu和.exe，漏洞混着几个.txt说明。补丁包制作者署名“老周”，漏洞没留联系方式。补丁包帖子里最后一条回复停在2019年3月，漏洞有人说“装完蓝屏了”，补丁包再没人接话。漏洞

这东西本身就不该存在。补丁包微软2014年4月8日停止对XP的漏洞扩展支持，之后的补丁包安全更新只对签了昂贵定制合同的机构开放。2017年WannaCry爆发时，漏洞英国NHS那些没升级的XP机器成了重灾区，但微软破例给XP发了MS17-010补丁——只此一次。老周的包，按他的说明，是把2014到2017年间散落在各处的POSReady 2009更新、嵌入式XP补丁、以及几个从泄露渠道流出的热修复，重新打包成能直接双击安装的格式。POSReady是微软给收银机、ATM用的XP变种，官方支持拖到了2019年4月。老周钻的就是这个空子。

我装过三次。第一次在虚拟机里，干净XP SP3，按顺序打，重启七次，成功。第二次在实体机上，一台2006年的联想天逸，打完网卡驱动挂了，设备管理器里多出三个黄色感叹号。第三次只挑了其中的KB4012598和KB4024323，前者是WannaCry的补丁，后者修的是“双脉冲星”漏洞，两个都是远程执行，不装等于门开着。装完用Nessus扫，报告里“Microsoft Windows XP”那一栏的红字从47条降到12条，剩下的基本是设计缺陷，补不了。

老周在说明文件里写了一句：“别指望这个包能让你上网不中招。”这话实在。XP的TCP/IP栈太老，SMBv1没法彻底关掉，IE8的渲染引擎漏洞多得像筛子。补丁能堵已知的洞，但堵不住新出的。2018年之后，针对XP的恶意软件基本转向了“能用就行”的策略——反正你系统老，随便一个宏病毒就能跑起来。我见过一个挖矿木马，专门找XP机器，因为它对CPU占用不敏感，用户往往以为是机器太旧。

这个包真正的价值不在安全，在“续命”。有些工业软件只认XP，有些老打印机没有Win10驱动，有些财务系统跑在VB6上。补丁包让这些机器能再撑几年，不至于一插网线就沦陷。老周大概就是干这行的，说明文件里提到“某厂MES系统”，没细说。他做的其实是把微软没给普通用户的东西，从缝里抠出来，拼成一块能用的补丁。

2019年4月9日，POSReady 2009也停止支持了。老周没再更新。那个包最后停留在2018年1月，版本号1.7。我留着它在硬盘角落，偶尔翻出来看看。里面有个readme.txt，最后一行写着：“装完重启，别连网，能用多久算多久。”这话比任何安全公告都直接。