补丁末日已至：全量打补丁不是答案

对大多数IT团队来说，补丁星期二曾经定下每个月的节奏。更新发布后，团队进行测试，变更委员会批准，然后在接下来的几周内逐步部署。这并非毫无痛苦，但至少是可预测的。

这种可预测性已经不复存在。2025年公开的CVE接近48,000个，而平均利用时间已缩短到大约五天。攻击者不再等待组织完成测试周期。

从被动打补丁转向基于风险的自动化 →

许多从业者现在称之为“补丁末日”。这个名字很戏剧化，但其背后的运营现实并不夸张。这同时是容量问题、优先级问题和流程问题。

AI正在加速攻防双方

人工智能正在改变漏洞的发现方式。研究人员使用AI辅助工具分析代码、对应用程序进行模糊测试，并以远超人工审查的速度识别缺陷。短期内，这意味着更多披露、更快到来、覆盖更多软件。

同样的技术也为攻击者所用，他们可以利用AI分析补丁、逆向工程修复程序，并在更新发布后不久构建出可用的漏洞利用。结果是时间线被压缩。周二公开的漏洞，可能在下周传统变更窗口开启之前就已被武器化。

我在企业环境中目睹了这一转变，模式始终一致：从披露到利用的窗口不断缩小，而补丁数量持续攀升。旧模式假设你有时间。现在你没有时间了。

传统打补丁方式在哪里失效

大多数补丁计划都围绕一个简单假设设计：持续部署更新，风险就会下降。这个假设仍然成立，但算数已经行不通了。

设想一个典型的中型环境：数千个Windows和macOS终端、混合的Linux服务器、数十个第三方应用程序，以及不断增长的云工作负载。每个月都会带来数百个相关更新。在同样的人手条件下，逐一测试、安排每次重启并确认每次部署并不现实。

于是团队退而依赖严重性评分。但仅凭严重性是一种粗糙的工具。一台隔离实验室服务器上的严重漏洞，其实际危险可能低于一个面向互联网、正被攻击者积极瞄准的系统上的中危漏洞。当所有标记为严重的漏洞都被当作紧急处理时，紧迫性就失去了意义。

任何管理过补丁积压的人都会熟悉这种结果：仪表盘上合规百分比看起来很健康，而真实暴露却藏在缝隙里。

按风险排序，而非按数量排序

更有用的问题不是“我们部署了多少补丁？”，而是“哪些行动能在当下最大程度降低风险？”

实际的优先级排序会综合权衡多个因素：该漏洞是否正在野外被积极利用？受影响的系统是否可从互联网或不可信网络访问？该资产有多重要，有哪些东西依赖它？是否已有补偿性控制措施？应用这些筛选条件的团队往往会发现，一小部分未修复漏洞构成了大部分有意义的暴露。这一小部分才是人员、维护窗口和测试工作应优先投入的地方。

优先级排序释放了注意力。自动化释放了时间。常规的、较低风险的更新（浏览器补丁、常见第三方应用程序、标准操作系统累积更新）可以通过自动化分批部署：先是一个试点组，然后更广泛的批次，如果失败率飙升则自动暂停。这样，技能娴熟的员工就能专注于棘手情况：无法快速打补丁的遗留系统、需要仔细安排时间的业务关键服务器，以及针对正被积极利用漏洞的紧急修复。

我建议的一个实际步骤是：在下一次紧急披露之前进行一次桌面演练。选择一个现实场景并走一遍流程。团队能以多快速度识别每个受影响设备？谁来决定是立即打补丁还是采用变通方案？你将如何验证修复确实已落地？保持简短、聚焦、不追责。大多数团队会发现，瓶颈不是补丁工具——而是资产数据不完整、归属不清，或IT运营与安全团队之间的交接缓慢。

对成功的不同定义

补丁末日将持续存在。漏洞数量和利用速度是结构性趋势，而非暂时性高峰。但目标不是给所有东西打补丁，而是智能地降低风险，把精力集中在最重要的地方，让自动化处理其余部分，并在底层建立可见性和治理，以便当下一次披露来临时，你的团队已经做好准备。

用Ivanti将你的补丁计划转变为风险降低引擎 →