漏洞管理不只看评分：关键在于是否真正影响你的环境

企业正面临在数百个系统中追踪数百万漏洞的压力，漏洞管理需要调整，但并非要放弃优先级排序与数据驱动方法，而是应聚焦真正会影响自身环境的缺陷。Empirical Security 创始人 Jay Jacobs 透露，九月补丁星期二发布后，一家机构的系统因无法支撑数千万易受攻击资产上涌入的新漏洞实例而崩溃；看似不到一千个 CVE，却分散在海量资产上。补丁星期二持续刷新修复数量并包含紧急补丁，自动化工具与人工智能也带来更多告警，安全团队疲于应对噪声。CISA 自 2021 年起定期发布已知已利用漏洞清单，VulnCheck 亦于 2024 年推出同类目录，仍被广泛用于基于真实威胁活动的补丁优先级。Root Evidence 首席执行官 Jeremiah Grossman 指出，仅约 1.4% 的 CVE 会被利用，且可再按是否影响本组织环境缩小范围；可能漏洞数量上升，但对手实际利用的数量基本持平，利用率在下降。他强调应关注对手实际行为，而非猜测可能攻击。多位专家认为人工智能即便增加发现量，也不必然推高入侵影响；Empirical Security 首席执行官 Ed Bellis 称许多团队仍手工处理，难以按规模扩展。Jacobs 指出公开通告信息不足，迫使团队额外检索博客。业界普遍认为程序应更依赖数据并结合专家判断，在理解可利用条件与现有防护后，可对一批漏洞降级处理。专家还提醒勿过度依赖 CVSS：满分十分的严重评级若出现在无人使用的软件上，攻击者未必投入；厂商评分动机复杂，易导致高危评级过多并使安全团队倦怠。Bellis 建议借助补丁管理工具尽可能自动化修复，不同产品修复成本差异巨大。Contrast Security 首席安全官 David Lindner 称客户常因扫描出接近 9.8 的严重 CVE 要求立刻修复，但现有控制可能已使其不可达，缓解与修复同等重要，行业正从单纯漏洞管理转向风险管理。