去年秋天，电脑洞办我一位做财务的有高朋友差点被一个漏洞坑了。她公司内网一台旧服务器上跑着Windows Server 2012，危漏某天安全扫描突然报警，电脑洞办说这台机器存在SMB协议的有高高危漏洞，攻击者能直接远程执行代码。危漏她当时的电脑洞办第一反应是“先放着吧，反正内网没人碰”。有高三天后，危漏勒索软件把那个部门的电脑洞办共享盘全加密了。恢复数据花了整整一周，有高老板差点让她走人。危漏

这件事说明一个很简单的电脑洞办道理：高危漏洞不是“可能出事”，而是有高“迟早出事”。尤其现在漏洞利用工具满天飞，危漏一个脚本小子都能用现成的EXP去打。你拖得越久，被扫到、被利用的概率就越大。

那发现漏洞之后，到底该怎么处理？我按自己的经验拆成几步说。

先确认漏洞到底影响什么

别急着打补丁。很多漏洞公告写得很吓人，什么“远程代码执行”“权限提升”，但实际利用条件可能很苛刻。比如需要攻击者先拿到一个低权限账号，或者只能通过特定端口触发。你要做的是：找到官方公告，看清楚影响版本、利用前提、是否有公开的POC。如果内网那台机器根本不开那个端口，或者服务压根没启用，风险等级可以降一档。但别自己骗自己——我见过有人把RDP端口从3389改成13389就觉得安全了，扫描器一跑照样出来。

打补丁之前，先做好备份和回滚准备

这是血泪教训。去年有个客户急着给Exchange Server打补丁，没做快照，结果补丁和某个第三方插件冲突，邮件服务直接起不来。折腾到凌晨三点才回滚。所以顺序应该是：备份数据、创建系统快照、在测试环境验证补丁、再上生产。如果漏洞紧急到等不了测试，至少保证快照可用。别信“官方说没问题”这句话，你的环境只有你自己清楚。

临时缓解措施比你想的有用

补丁没出来，或者来不及打，不代表只能裸奔。关掉不必要的服务、用防火墙限制访问源IP、启用网络层认证、把受影响的服务挪到隔离VLAN——这些都能大幅降低被利用的可能。比如那个SMB漏洞，如果你暂时打不了补丁，直接在边界防火墙封掉445端口，内网之间也做访问控制，攻击面立刻小很多。我自己的习惯是：先上缓解措施，再从容打补丁。

别忽略“已经中招”的可能性

高危漏洞从披露到被利用，时间窗口越来越短。有时候你发现漏洞的时候，攻击者已经进来好几天了。所以打完补丁不算完，还得查日志、看异常进程、检查有没有新增账号或计划任务。我一般会重点看：系统日志里有没有异常的登录失败、有没有陌生的服务被创建、外连流量有没有可疑IP。如果实在不放心，用EDR或者轻量级HIDS扫一遍。别嫌麻烦，总比事后擦屁股强。

长期来看，别把漏洞管理当救火

我见过太多团队，平时不管，等CVE爆出来才连夜加班。其实搞一个简单的资产清单、订阅几个靠谱的漏洞情报源、每月花半天做一次补丁评估，就能避免80%的紧急情况。另外，老旧系统该淘汰就淘汰。Windows Server 2008、CentOS 6这些，官方都不支持了，你还留着，等于在家里放了一颗定时炸弹。

说到底，高危漏洞本身不可怕，可怕的是侥幸心理。你拖一天，攻击者的机会就多一天。别等出了事再后悔——那时候数据可能已经没了，客户可能已经跑了，老板可能已经拍桌子了。