信息安全漏洞共享平台

2023年8月，信息一个Apache Log4j2的安全远程代码执行漏洞在CNVD上被公开时，距离它首次被安全研究员发现已经过去了将近72小时。漏洞这72小时里，共享全球有超过六万台服务器被扫描、平台试探、信息植入挖矿程序。安全有人在论坛里说，漏洞"等公告出来，共享黄花菜都凉了"。平台这句话糙，信息但点出了一个真问题：漏洞共享这件事，安全到底在什么时间节点上才算真正有用？漏洞

《信息安全漏洞共享平台》，英文缩写CNVD，共享是平台中国信息安全测评中心在2009年牵头搞起来的。它的核心工作说起来很直白——收集漏洞、验证漏洞、给漏洞定级，然后通知厂商修，修完了再对外公开。听起来像是个信息中转站，但实际运作远比"转发"复杂得多。

漏洞从哪来

CNVD的漏洞来源主要有几个口子。一是安全研究人员主动提交，这帮人里有白帽黑客、有高校实验室的学生、也有厂商自己的安全团队。二是CNVD自己爬全网数据，从公开的代码仓库、安全论坛、甚至暗网流量里捞线索。三是跟国际上的CVE、NVD做数据交换。我翻过CNVD近三年的年度报告，2022年全年收录漏洞超过两万个，其中高危漏洞占比接近三成。这个数字放在全球范围看不算小。

但数量不是关键。关键是验证环节。一个漏洞从提交到确认，CNVD的技术人员要复现、要确认影响范围、要判断利用难度。有些漏洞提交者描述得含糊，复现要花好几天。有些漏洞影响的是冷门系统，连测试环境都搭不起来。这个过程里，厂商可能已经收到了风声，也可能完全蒙在鼓里。

厂商、白帽子和平台之间的拉扯

漏洞披露有个经典的"90天规则"——发现者给厂商90天时间修复，到期不管修没修都公开。CNVD没有硬性照搬这个规则，实际操作更灵活，但也更模糊。我见过一个案例：某国产OA系统的SQL注入漏洞，白帽子在2021年11月提交给CNVD，CNVD当天就联系了厂商。厂商回复说"正在排查"，然后拖了四个月。这四个月里，白帽子在微博上暗示过、在技术群里抱怨过，但始终没公开细节。最后漏洞补丁发出来的时候，已经有人在做批量扫描了。

这种事不是孤例。厂商有厂商的难处——老系统改起来牵一发动全身，排期、测试、灰度发布，哪一步都要时间。白帽子有白帽子的焦虑——我发现了漏洞，你拖着不修，万一被别人先利用了算谁的？CNVD夹在中间，既不能逼厂商太紧，又不能压着白帽子不让说话。这个平衡点很难找。

普通用户能感知到什么

说实话，大部分普通用户根本不知道CNVD的存在。你手机上的App更新提示、Windows的月度补丁、路由器厂商的固件升级，背后可能就有CNVD的推动，但用户看到的只是"修复已知问题"几个字。这种无感其实是好事——说明漏洞在被利用之前就被堵上了。但反过来想，如果CNVD的响应慢了、厂商配合度低了，用户也不会立刻察觉，直到某天数据泄露了、设备被控了，才回头问"怎么没人管"。

我个人的判断是，CNVD的价值不在于它收录了多少漏洞，而在于它能不能让漏洞从"发现"到"修复"的链条跑得更快。这个链条上每一个环节——提交、验证、通知、修复、公开——都有各自的利益和节奏。平台的作用是协调，不是命令。协调得好，漏洞就是一张补丁；协调不好，漏洞就是一颗定时炸弹。

去年有个做安全的朋友跟我说，他现在提交漏洞之前会先看CNVD的公告历史，如果某个厂商历史上响应速度还行，他就走CNVD；如果那个厂商之前拖过，他可能直接找媒体。这话听着不太"合规"，但很真实。漏洞共享平台要留住白帽子，光靠流程和规范不够，还得靠信任。信任这东西，建立起来慢，塌起来快。