2023年秋天，网络某三甲医院的安全影像归档系统被拖库，超过12万份患者CT报告出现在境外论坛上。漏洞攻击者没用什么零日漏洞，风险入口是提示一台三年没打补丁的PACS服务器，暴露在公网，网络弱口令，安全密码是漏洞“hospital2023”。这事后来被内部通报，风险但没上新闻。提示我拿到那份通报时，网络第一反应不是安全惊讶，是漏洞麻木——每年经手的漏洞报告里，这种案例占七成以上。风险

漏洞这东西，提示从来不是“有没有”的问题，是“什么时候被谁先发现”的问题。CVSS评分9.8的远程代码执行漏洞，在野利用往往早于补丁发布。2024年初的FortiOS SSL-VPN漏洞就是典型，CVE-2024-21762，攻击者构造一个HTTP请求就能绕过认证执行命令。Fortinet发补丁那天，我认识的一个安全团队已经在客户内网抓到三波扫描流量了。补丁和攻击之间，时间窗口越来越短，有时候短到以小时计。

企业里最要命的是那些“合法但危险”的配置。去年审计一家制造企业，他们的ERP系统用sa账户跑数据库连接，密码写在Web.config里，而那个配置文件通过一个未授权的备份接口可以下载。整条链路没有一处是“漏洞”，全是合规配置。攻击者拿到配置文件后，横向到域控只花了四十分钟。这种风险，扫描器扫不出来，合规检查也过。得靠人，靠有经验的人去翻配置、看日志、理调用链。

个人用户这边，情况更糙。我见过太多人把家用路由器的远程管理开在公网，密码是admin/admin。2023年Mirai变种爆发那阵，一个小区里七十多台路由器被控，发起DDoS把上行带宽打满。运营商封了端口，用户还打电话投诉说“网坏了”。路由器固件更新？大多数人连管理后台都没登过。厂商推送了补丁，设备不重启不生效，一拖就是半年。这半年里，设备就是肉鸡。

供应链是另一个雷区。你用的开源组件，可能三年没维护了。Log4j2那个事过去两年多，我上周还在一个客户的Java应用里扫出log4j-core-2.14.1。问开发，答“没空升级，能跑就行”。JNDI注入的利用链公开得不能再公开，攻击成本低到脚本小子都能上手。更麻烦的是那些商业闭源组件，厂商不发CVE，你连漏洞存在都不知道。等爆出来，往往已经晚了。

说点实际的。漏洞管理不是买套扫描器就完事。资产台账得准，你连自己有多少台机器、跑什么服务都不清楚，扫出来的结果就是噪音。我习惯让团队先做被动流量分析，把真实在用的端口和服务摸一遍，再上扫描。优先级排序别只看CVSS，结合资产重要性、暴露面、利用难度一起算。一个内网测试机的9.8，优先级可能低于公网边缘设备的7.5。

补丁策略也得务实。不是所有系统都能随时重启，那就做虚拟补丁、WAF规则、访问控制列表，先挡一道。业务部门不配合？把风险翻译成钱和合规责任，比讲技术术语管用。我见过一个CISO直接拿着银保监的罚单模板去找业务线负责人签字，补丁安装率一周从40%拉到92%。

最后说句不中听的。漏洞永远修不完，攻击面只会越来越大。与其追求“零漏洞”的幻觉，不如假设自己已经被渗透，把检测和响应能力建起来。日志留存够不够？EDR覆盖全不全？有没有人7×24看告警？这些问题的答案，比漏洞扫描报告上的数字重要得多。