单个主机低危漏洞数量不能超过

一台主机扫出二十多个低危漏洞，单个低危安全负责人看了一眼就关掉了报告。主机这种事我见过太多次。漏洞低危嘛，数量又不影响业务，超过修它干嘛？单个低危问题恰恰出在这里——当低危漏洞堆积到一定数量，它们组合起来产生的主机风险，往往比一个高危漏洞更致命。漏洞

我给不少企业做过安全评估，数量发现一个规律：主机安全做得好的超过团队，低危漏洞数量通常控制在个位数。单个低危而那些被拖库、主机被横向渗透的漏洞案例，事后复盘时总能在某台跳板机上找到几十个低危漏洞。数量这不是超过巧合。

低危漏洞为什么会被忽视

CVSS评分3.9以下的漏洞，在大多数扫描器里都被标成低危。信息泄露、配置缺陷、版本号暴露——听起来确实不痛不痒。安全工程师每天面对几百条告警，优先处理高危是本能反应。管理层看报表也只盯高危数量，低危那一栏常年飘红也没人问。

但攻击者不这么看。一个暴露的PHP版本号，能帮攻击者精准匹配EXP；一个目录列表权限，可能泄露配置文件路径；一个未加密的HTTP接口，抓包就能拿到内网拓扑。单个看都是小事，串起来就是一条完整的攻击链。

数量本身就是问题

我跟踪过一家电商公司的安全数据。他们核心业务主机的低危漏洞常年维持在40个左右，运维团队觉得“都是误报”。后来一次渗透测试，测试人员只用了三个低危漏洞就拿到了服务器权限：第一个是SSH允许密码登录，第二个是某个服务暴露了内网IP，第三个是日志目录可写。单独修任何一个都不难，但没人觉得有必要。

这里有个阈值概念。单台主机低危漏洞超过15个，基本可以判定这台主机的安全基线管理是失控的。超过30个，几乎肯定存在配置漂移和补丁管理缺失。这不是技术问题，是流程问题。一个连低危漏洞都懒得处理的团队，高危漏洞的修复质量也可想而知。

把数字压下来

我给自己定过一个硬指标：单台主机低危漏洞不超过5个。超过5个就说明这台主机的安全状态需要重新评估，而不是简单打个补丁了事。这个数字怎么来的？根据经验，5个以内的低危漏洞通常是误报或业务必需，可以接受。超过5个，大概率是系统长期缺乏维护，或者部署了来路不明的第三方组件。

实际操作中，控制低危漏洞数量比想象中简单。统一基础镜像、关闭不必要的服务、定期比对配置基线——这些动作做到位，低危漏洞自然就降下来了。难的是坚持。很多团队做一次基线加固，管三个月，然后又慢慢漂移回去。安全这件事，从来都是持续对抗熵增的过程。

有人会说，业务都忙不过来，哪有精力管低危。我的看法是：低危漏洞的修复成本极低，大部分是改配置、关端口、升个小版本。真正贵的是出事之后的应急响应和业务中断。算清楚这笔账，优先级自然就上来了。

下次看到扫描报告里那一片低危，别急着关掉。数一数，如果超过10个，这台主机可能已经在攻击者的待办清单上了。