大讲堂
他开的新势力电动车，车机存在未授权提权漏洞——攻击者隔着三公里的公共WiFi就能把车的空调开到最大、解锁车门，甚至远程限速。他给品牌安全团队报了漏洞。
等了97天。
补丁才推送到他的车机上。中间他特意去问过进度，对方客服只会说“我们正在加急处理”，连漏洞的严重等级都不肯告诉他。
这不是个例。过去三年，我接触过的数百个漏洞修复案例里，有超过六成的高危漏洞，从披露到全量覆盖用户，花的时间比攻击者拿到POC之后发动大规模攻击的时间，长了一个数量级。
别再把漏洞修复当“打补丁”的技术活
很多人对漏洞修复的认知，还停留在“找到代码里的bug，改几行，发个更新包”的阶段。
根本不是。
现在的软件系统，早就不是某一个程序员从零写出来的了。一个普通的电商APP，背后可能嵌套了上百个第三方SDK、开源组件、依赖库，你甚至说不清楚某一行跑在用户手机上的代码，到底是哪个公司、哪个开源社区写的。这就意味着，你以为你买的是一套完整的软件，实际上你拿到的是一堆不知道来源的代码块拼出来的积木。
目前的自动化扫描工具，能识别已知的公开漏洞——也就是有CVE编号的那些，覆盖率大概在90%。但剩下的10%，才是真正要命的：比如业务逻辑层面的漏洞，比如报销系统允许上传带恶意脚本的附件，比如电商平台的优惠券接口可以被无限调用，这种漏洞根本不是代码语法错误，是流程设计的问题，扫描工具根本认不出来。还有0day漏洞，连厂商自己都不知道存在，更别说提前修了。
我见过太多公司的安全团队，把“扫描工具漏洞清零”当年度KPI，转头就被黑产利用业务逻辑漏洞，偷走了几百万条用户的手机号和收货地址。
离谱。
这里要讲清楚技术边界：漏洞修复的天花板，从来不是“能不能写出补漏洞的代码”，而是“能不能找到所有藏在系统里的漏洞”。很多人觉得现在技术这么发达，找漏洞还不容易？真不容易。你就算把所有已知漏洞都扫一遍，只要漏了一个藏在三层依赖下面的开源组件，就可能成为整个系统的突破口。
为什么明明知道有漏洞，补丁就是下不来
之前看到一组行业统计，全球范围内，企业对高危漏洞的平均修复时间是47天。
但你知道攻击者从拿到漏洞的公开POC，到在全球范围内发动批量攻击的时间是多少吗？
平均7天。
这中间隔了整整40天的攻击空窗期。
为什么差这么多？根本不是技术问题，是流程和利益的问题。
我接触过的一家股份制银行，核心交易系统的高危漏洞，平均修复周期是6个月。不是安全团队不知道有漏洞，是他们根本没有权限直接推补丁。要打补丁，得先报运维团队，运维团队要评估对业务的影响，业务部门说“现在正在做季度末的结算，不能停机，等结算完再说”，等结算完了，又要赶上系统升级的窗口，窗口排期排到三个月后，一来一回，半年就过去了。
还有那种消费电子厂商，比如智能摄像头、家用路由器，产品卖出去之后，售后团队18个月之后就解散了。就算发现了新的漏洞，也没人写补丁，反正用户也不会发现——直到黑产把漏洞公开，批量入侵用户的家庭网络，偷摄像头的录像，偷路由器的WiFi密码，厂商才出来发个不痛不痒的公告，让用户“手动升级最新固件”。
说实话，我特别能理解业务团队的顾虑。核心系统打补丁，万一打崩了，造成的交易损失，可能比被黑产攻击的损失还大。但这种“等一等再修”的心态，本质上是把所有的风险都甩给了运气——赌攻击者不会刚好盯上你。
但运气这东西，从来都靠不住。
漏洞修复的灰色地带：谁该为没修的漏洞负责
现在的漏洞修复，最麻烦的根本不是技术，是责任划分。
就拿当年的Log4j漏洞来说，多少企业因为用了这个开源组件，根本不知道自己的系统里藏着这么大的漏洞。等到被勒索病毒加密了服务器，开始追责的时候：开源组件的维护者说我是义务做的，不承担商业责任；软件开发商说我只是集成了这个开源组件，我也不知道有漏洞；云服务商说你是自己部署的应用，我管不着。最后所有的损失，全是企业自己扛。
更离谱的是，有些厂商明明收到了白帽子报的高危漏洞，非但不赶紧修，反而反过来起诉白帽子，说他“故意披露漏洞，损害公司品牌形象”。去年就有个做家用路由器的厂商，收到白帽子报的远程接管漏洞，直接把白帽子的邮箱拉黑，过了半年，漏洞被黑产公开，几十万用户的网络被入侵，厂商出来发公告说“我们已经完成了漏洞修复，提醒用户及时更新”——合着之前根本没打算修是吧？
现在全球的监管已经开始往这个方向使劲了。比如欧盟的NIS2指令，要求所有关键行业的企业，必须在21天内修复高危漏洞，逾期不改的，最高罚全球年营收的2%。国内也在推相关的要求，比如关键信息基础设施的运营者，必须建立漏洞修复的台账，每季度上报修复进度。
但还是有很多灰色地带。比如那些卖给普通消费者的智能硬件，现在根本没有强制要求的漏洞修复支持周期。你花几千块买的智能电视，可能用了两年之后，系统就再也收不到安全更新了，相当于买了个随时可能被入侵的盒子放在客厅里。
未来3到5年，漏洞修复这个领域，会发生三个很明确的变化。
第一，所有的软件都会像食品一样，带个“配料表”。也就是现在大家在推的软件物料清单（SBOM），你买一个软件，厂商必须把里面所有的组件、版本、对应的已知漏洞全部列出来，就像零食包装上的配料表，你一看就知道里面有没有坚果、有没有防腐剂，会不会引起过敏。再也不会出现“我用了个开源组件，结果不知道里面有漏洞”的情况。
第二，补丁再也不需要停机了。现在的热补丁技术，已经能做到在不重启系统、不中断业务的前提下，把漏洞补上。原来需要停机4个小时才能完成的高危漏洞修复，现在可能10秒就能搞定，根本不会影响业务的正常运行。之前很多企业不敢打补丁，就是怕停机影响业务，这个问题解决了，修复的周期至少能缩短80%。
第三，厂商的漏洞修复责任，会变成强制的准入门槛。就像现在的家电必须有3C认证一样，以后你卖智能硬件、卖企业软件，必须承诺至少3到5年的漏洞修复支持周期，不然根本不能上市。你想赚快钱，卖完产品就不管了？不行。
很多人聊数字安全，总喜欢扯什么顶尖黑客攻防、什么量子加密、什么AI安全大模型。
其实真的没那么复杂。
你把所有已知的高危漏洞，在攻击者发动攻击之前修好，就能防住80%以上的网络攻击。
但就是这么简单的事，我们现在做的还远远不够。毕竟，比起花几个月时间写补丁、做测试、推送到每一个用户的设备上，花几个亿打广告、做营销、卖出去更多产品，对很多厂商来说，实在是太不划算了。
对吧？
作者|大讲堂
排版|大讲堂
审核|阿辰