去年夏天，电脑我一位做设计的系统修复朋友在打开一个PSD文件后，电脑突然蓝屏。漏洞重启后桌面多了一个“README.txt”，软件所有文档文件后缀被改成“.locked”。电脑她没装漏洞修复软件，系统修复系统补丁停留在两年前。漏洞攻击者利用的软件是Windows一个已知的SMB协议漏洞——微软早在三个月前就发布了修复补丁。她没打。电脑结果就是系统修复花了两天恢复数据，外加一顿火锅钱请我帮忙重装系统。漏洞

漏洞修复软件干的软件事，说白了就一件：把厂商发布的电脑补丁自动下载、安装、系统修复重启。漏洞听起来简单，但真正用起来，差别很大。

我自己的主力机装的是Windows 11，系统自带的Windows Update其实够用。但有个问题——它太喜欢在你不注意的时候重启。有一次我渲染视频到一半，它弹窗说“将在15分钟后重启”，我点了“稍后提醒”，结果它十分钟后就重启了。从那以后我换成了第三方工具。试过几款，最后留在机器上的是“Patch My PC”。它不花哨，界面像个Excel表格，列出所有已安装软件和可用更新。点一下“Scan”，它会把Adobe、Java、Chrome、甚至7-Zip的更新全列出来。你勾选，它静默安装。没有重启倒计时，不会打断你干活。

但这类工具也有坑。我见过一款国产的“漏洞修复大师”，装完之后弹窗广告比补丁还多。它确实会扫描系统漏洞，但修复按钮旁边总跟着一个“推荐安装XX浏览器”的勾选框。这种软件我一般直接卸载，然后手动去微软官网下载对应的KB补丁。麻烦点，但干净。

企业环境里情况更复杂。我接触过一家小公司，二十多台电脑，没有域控，全靠一台一台手动打补丁。IT专员每周五下午挨个点Windows Update，点完重启，重启完再检查一遍。后来他用了“WSUS Offline Update”，一个德国人写的免费工具。它能把所有补丁下载到一个文件夹，然后通过U盘或网络共享分发给每台机器。不需要每台电脑都联网，也不需要微软账户。那个IT专员跟我说，以前周五下午要搞到六点，现在两点就能收工。

手机上的漏洞修复又是另一回事。安卓阵营里，谷歌Pixel系列每月5号准时推送安全补丁，三星旗舰机大概晚两周，国产厂商有的季度推一次，有的干脆不推。我手里一台2020年的中端安卓机，最后一次安全更新停在2022年3月。厂商不推了，你装什么软件都没用——底层补丁要厂商签名才能刷入。所以买安卓机，看厂商更新承诺比看跑分重要。

回到我那位设计师朋友。她后来装了“0patch”，一个斯洛文尼亚小团队做的微补丁工具。它不依赖厂商官方补丁，而是直接在内存里拦截漏洞利用代码。比如那个SMB漏洞，官方补丁要重启，0patch的微补丁加载后立刻生效。缺点是它只覆盖高危漏洞，不是全部。但对一台老机器来说，这已经够用了。

说到底，漏洞修复软件不是装了就万事大吉。你得看它更新源是否可靠、是否捆绑广告、是否支持静默安装、是否覆盖你用的所有软件。Windows Update够用但烦人，第三方工具省心但得挑。企业有WSUS Offline这种老牌方案，个人用户看自己忍耐度。我现在的做法是：系统补丁交给Windows Update，但把活跃时间设成凌晨3点到5点；第三方软件更新交给Patch My PC，每周手动扫一次。不完美，但至少不会在渲染视频时突然重启。