凌晨三点，漏洞维护我被电话吵醒。漏洞维护某银行的漏洞维护交易系统出了毛病，客户在ATM上取钱，漏洞维护卡吐出来了，漏洞维护钱没出来。漏洞维护日志显示，漏洞维护一个老漏洞被利用了——那个漏洞三年前就有人报过，漏洞维护修补补丁发了两次，漏洞维护但运维团队觉得“影响面不大”，漏洞维护一直没打。漏洞维护这次攻击者没费什么劲，漏洞维护就是漏洞维护拿公开的exploit脚本试了试，居然成功了。漏洞维护

漏洞维护这事儿，漏洞维护听起来像技术活，其实更像家务活。你家里水管漏了，修理工说换个接头就行，你想着“先凑合吧”，结果半夜水管爆了，淹了楼下邻居。代码里的漏洞也一样，它不会因为你忙就消失，只会等你最没防备的时候跳出来咬你一口。

我见过太多团队把漏洞维护当成“打地鼠”。哪个漏洞被爆出来了，赶紧修哪个；媒体没报道的，就当不存在。这种被动式维护的问题在于，攻击者比你更清楚哪里有洞。他们手里有自动化扫描工具，天天在互联网上扫，比你自己的安全团队还勤快。你以为是“没人发现的漏洞”，其实早就在暗网论坛上明码标价了。

有个朋友的公司，开发流程挺规范，代码评审、单元测试都做。但他们的漏洞维护策略是“季度性集中处理”——攒三个月的漏洞报告，找一周时间统一修。听起来高效对吧？结果某次集中修复前三天，一个被搁置了两个月的中危漏洞被攻击者利用了，数据被加密勒索。那次的损失，够他们请十个安全工程师干十年。

真正有效的漏洞维护，其实很无聊，就是持续、小步、及时地处理。像刷牙一样，每天两次，每次两分钟，不刺激但有效。安全团队应该把漏洞修复嵌到日常开发流程里，而不是当成额外负担。现在很多工具能自动检测依赖库的漏洞，CI/CD流水线里加一道检查，有高危漏洞就阻断发布。这不需要多高深的技术，需要的是决心和习惯。

还有一点常被忽略：漏洞维护不只是技术人员的责任。老板得明白，安全投入不是成本，是保险。一个漏洞导致的业务中断，可能比一年的安全预算还贵。我见过最惨的案例，是一家创业公司，因为一个SQL注入漏洞，用户数据全被拖走，第二天就上了头条，融资黄了，团队散了。

说到底，漏洞维护拼的不是谁的技术更炫，而是谁更尊重常识。漏洞是代码的影子，只要写代码就会有漏洞。承认这一点，然后老老实实建立发现、评估、修复、验证的循环，比什么都强。别等电话在凌晨响起，那种滋味不好受。