2017年5月12日，病毒英国国家医疗服务体系的及漏电脑屏幕上突然跳出红色勒索界面，要求支付300美元比特币才能解锁文件。病毒手术被迫取消，及漏急诊病人被转送其他医院。病毒那个周末，及漏全球150个国家的病毒30万台电脑中招，罪魁祸首叫WannaCry，及漏它利用的病毒漏洞代号MS17-010——微软早在两个月前就发布了补丁，但太多医院、及漏工厂和学校的病毒系统没更新。

病毒和漏洞的及漏关系，说白了就是病毒锁和撬锁工具的关系。漏洞是及漏锁本身的缺陷，病毒是病毒拿着铁丝伸进锁孔的人。但有意思的是，多数病毒并不需要多高深的技术，它们专挑那些没换锁芯的旧门下手。WannaCry用的漏洞来自美国国家安全局泄露的网络武器，这算高级货了——可真正让它肆虐的，是无数台还开着旧版Windows的电脑，有些甚至运行着XP系统，微软早已停止支持。

我见过最讽刺的案例在一家小型制造厂。他们的生产线控制电脑从2009年就没重装过系统，工程师的理由是“软件兼容性”。结果一次U盘插入，Conficker蠕虫顺着打印机共享端口传遍全厂，所有数控机床的图纸文件被加密，停产四天。厂长后来跟我说，早知道当初花两万块升级系统，也不至于损失八十万。这不是技术问题，是侥幸心理在作祟。

漏洞这东西，有时候藏得极深。2014年的Heartbleed漏洞，存在于OpenSSL加密库——全世界三分之二的网站都在用。简单说，攻击者可以向服务器发送一个伪装成心跳请求的数据包，然后多读取64KB内存，这里面可能躺着用户的密码、私钥，甚至会话令牌。更麻烦的是，这个漏洞在2012年就被引入，两年间没人发现。修复它只需要一行代码，但部署到全球服务器却花了数月。

也有漏洞是被人为留下的。2018年，安全研究员发现某国产路由器固件里藏着一个后门账号，用户名是默认的admin，密码是硬编码在代码里的。这种漏洞无法通过补丁修复，因为它是厂商故意留的“方便之门”——也许是为了远程维护，也许是为了别的目的。普通用户除了换设备，别无他法。

病毒利用漏洞，漏洞催生补丁，补丁又带来新漏洞——这是个永不停歇的循环。微软每个月第二个星期二发布补丁，业内叫“Patch Tuesday”，但总有企业因为担心补丁影响稳定性而推迟安装。安全公司Mandiant做过统计，漏洞被公开到被利用的平均时间已从45天缩短到7天，而企业平均打补丁的周期是30天。这中间的23天空窗期，就是攻击者的黄金时间。

说到底，技术防御永远追不上人为疏忽。你装了防火墙，有人把密码贴在显示器上；你升级了系统，有人用U盘在ATM机上插来插去。2016年，黑客通过入侵一台智能鱼缸的温度传感器，进入了北美某赌场的高层数据库——鱼缸本来是用来观赏的，却成了整个网络的突破口。

所以别总问“为什么病毒杀不完”，该问的是“为什么我们总在等病毒爆发后才想起来更新系统”。漏洞是死的，人是活的——但往往，活人比死漏洞更难修。