国家信息安全漏洞库 cnnvd

2015年，信息一个叫“海莲花”的安全境外黑客组织盯上了国内某海洋机构。攻击持续了三年，漏洞钓鱼邮件、信息水坑攻击、安全零日漏洞轮番上阵，漏洞直到CNVD和CNCERT联合发布预警，信息很多人才第一次意识到——原来漏洞不只是安全代码缺陷，它可以直接变成情报战的漏洞弹药。

国家信息安全漏洞库，信息英文缩写CNNVD，安全2010年由中国信息安全测评中心牵头搭建。漏洞说它是信息“库”，其实不太准确。安全它更像一个情报中枢：收集漏洞、漏洞验证漏洞、给漏洞定级、通知厂商修补、向关键行业发预警。整个链条跑下来，快则几小时，慢则几天。慢一步，攻击者就可能先动手。

很多人把CNNVD和CNVD搞混。CNVD是国家计算机网络应急技术处理协调中心运营的漏洞平台，偏重应急响应；CNNVD归口在测评中心，侧重漏洞分析和风险评估。两个库有交叉，但定位不同。搞安全的人通常两个都盯，因为谁先发布补丁信息，谁就能抢出那几小时的窗口期。

漏洞库的核心资产不是漏洞本身，是漏洞背后的人。CNNVD有一批签约的“白帽子”研究员，也有厂商安全团队定向报送。2021年，某国产办公软件被曝出一个远程代码执行漏洞，CNNVD在24小时内完成了验证、定级和厂商通报。厂商连夜推了热修复补丁。事后复盘，从漏洞提交到补丁上线不到48小时。这个速度放在全球漏洞响应体系里也算拿得出手。

但问题不是没有。漏洞报送的质量参差不齐。有人为了刷排名，把同一个漏洞拆成好几个提交；有人提交的PoC根本跑不通，验证环节要反复沟通。更麻烦的是，有些厂商不配合。漏洞通报发过去，对方装死，或者嘴上说“正在修”实际拖几个月。CNNVD没有执法权，只能靠公示和舆论压力推动。这种“软约束”在关键基础设施领域尤其危险——工控系统、医疗设备、车联网，哪一个被攻破都不是小事。

2023年CNNVD公布的数据里，高危漏洞占比超过三成。这个数字背后是大量未修补的系统在裸奔。我见过一家中型企业的内网，Windows Server 2008还在跑核心业务，补丁停留在2019年。问IT负责人，回答是“升级要停机，业务部门不批”。漏洞库把风险摆到桌面上，但修不修，很多时候不是技术问题。

CNNVD这几年在推“漏洞全生命周期管理”的概念。从发现、报送、验证、定级、披露到修复验证，每个环节都想管起来。理想很丰满。现实是，漏洞披露的节奏永远在博弈：厂商想拖，研究员想发，攻击者已经在利用了。CNNVD夹在中间，既要保证信息透明，又不能变成攻击者的“漏洞导航”。

一个细节：CNNVD的官网至今保留着漏洞编号查询功能，但部分历史漏洞的详情页已经打不开了。不是技术故障，是主动下架。有些漏洞的利用代码一旦公开，影响面太大。这种“选择性透明”引发过争议，但在没有更好方案之前，它至少是一种务实的选择。

漏洞库不是保险箱。它是一面镜子，照出的是整个安全生态的短板——厂商的责任心、用户的意识、监管的力度。CNNVD能做的，是把镜子擦亮一点，让问题早一点被看见。