2017年5月12日，修补系统一个普通的漏洞周五下午。英国国立医疗系统的修补系统电脑屏幕开始逐台弹出红色勒索界面，手术被迫取消，漏洞救护车改道。修补系统攻击者利用的漏洞，是修补系统微软两个月前就发布补丁修复的一个漏洞—— EternalBlue。那些没打补丁的漏洞医院，成了活靶子。修补系统

这个案例把一个问题摆到台面上：系统漏洞到底是漏洞什么？打个比方，你买了一扇防盗门，修补系统厂家后来发现锁芯设计有缺陷，漏洞于是修补系统免费给你换新锁芯。系统补丁就是漏洞这个新锁芯。但很多人觉得麻烦，修补系统或者担心换锁芯会把门弄坏，干脆不换。结果呢？小偷拿着万能钥匙，挨家挨户试，不换锁芯的，一拧就开。

有人会说，我电脑里又没什么值钱东西，黑客盯上我干嘛？这种想法太天真了。你的电脑被攻破后，可能变成僵尸网络的一员，被用来攻击别人；你的邮箱可能被用来发钓鱼邮件；你的摄像头可能被远程打开，成为别人窥视你生活的窗口。2016年物联网僵尸网络Mirai，就是靠扫描默认密码和未修补漏洞，控制了数十万台设备，对美国东海岸发动了大规模DDoS攻击，导致Twitter、Netflix大面积瘫痪。你不在乎自己的数据，但黑客在乎你的设备算力。

补丁发布和漏洞公开之间存在一个"黄金窗口期"。安全研究员发现漏洞后，通常会通知厂商，厂商开发补丁需要时间。一旦补丁发布，漏洞细节就公开了——这时候所有人都知道这个洞怎么补，也就等于所有人都知道这个洞怎么破。没打补丁的系统，就像考试答案已经公布，你还拿着旧版本在答题。2017年的Equifax数据泄露，1.43亿美国人的社保号、驾照信息被拖走，原因就是Apache Struts的一个已知漏洞，补丁在两个月前就发布了。

当然，打补丁不是没代价。有时候补丁会和现有软件冲突，导致蓝屏或功能异常。IT管理员最怕的就是"补丁星期二"——微软每月第二个周二发布补丁，常有企业因为补丁导致业务系统崩溃。所以很多运维人员选择观望几周再打。这个矛盾怎么解？关键在风险评估。暴露在公网的服务，必须第一时间打补丁；内网系统可以稍作延迟，但也要有明确的时间表。Windows更新里有个"暂停更新"选项，最多能停35天——这是给你准备测试时间的，不是让你永久逃避的。

现实是，大多数漏洞攻击发生在补丁发布后的48小时内。黑客知道大家拖延，所以专门盯着这个窗口期下手。你晚一天打补丁，就多暴露一天。2019年，美国丹佛市政府的电脑被勒索软件加密，不得不支付了相当于170万美元的比特币赎金。事后调查发现，攻击者利用的漏洞，补丁在三个月前就发布了——但市政府的IT部门因为人员短缺，一直没来得及部署。

说句实在话，我见过太多人把系统更新推迟到"有空的时候"，结果永远没空。系统漏洞修补不是装修房子，可以挑个黄道吉日。它更像刷牙——每天都要做，虽然枯燥，但能防止未来更痛苦的牙科手术。下次弹窗提醒你有更新时，别急着点"稍后提醒我"。那个"稍后"，可能是你最后悔的时刻。