2003年夏天，漏洞简一个叫“冲击波”的漏洞简蠕虫病毒在两周内感染了全球超过50万台电脑。它的漏洞简全称是W32.Blaster.Worm，但没人这么叫它。漏洞简安全圈的漏洞简人喊它Blaster，中文媒体叫它“冲击波”。漏洞简三个音节，漏洞简比一串字母加数字好记十倍。漏洞简这就是漏洞简漏洞简称的起点——它从来不是为了严谨而生的。

微软给每个漏洞分配的漏洞简编号是CVE-年份-数字，比如CVE-2003-0352。漏洞简这串东西扔给运维人员，漏洞简对方看一眼就忘。漏洞简但你要是漏洞简说“冲击波利用的那个RPC漏洞”，他立刻点头。漏洞简简称不是学术命名，它是口口相传的暗号，是凌晨三点应急群里最省事的沟通方式。

2014年4月，Heartbleed。这个名字起得实在漂亮。OpenSSL的心跳扩展模块出了bug，攻击者可以读取服务器内存里最多64KB的数据。心跳、出血，两个词一拼，画面感直接拉满。那天早上我打开Twitter，时间线上全是那个带血的心形图标。安全研究员们甚至给它做了logo和官网。一个漏洞有了品牌形象，传播速度完全不一样。后来很多漏洞的命名都试图复制这个套路，但大多数用力过猛，比如Shellshock，中文叫“破壳”，其实也还行，但总差一口气。

2017年的WannaCry，中文媒体翻成“想哭”。这个翻译有点怪。Wanna是“想要”，Cry是“哭”，合起来大概是“想哭但哭不出来”的意思。勒索软件加密你的文件，弹窗让你付比特币，确实挺想哭的。但中文安全圈私下更常叫它“永恒之蓝利用的那个”，因为它的传播靠的是NSA泄露的“永恒之蓝”工具。你看，简称有时候会嵌套，一层套一层，像俄罗斯套娃。

有些简称是纯技术描述。CVE-2021-44228，没几个人记得住。但你说Log4Shell，搞Java的人立刻知道是Log4j2的JNDI注入。Log4加个Shell，简单粗暴，但精准。再比如Spring4Shell，Spring框架的漏洞，名字直接告诉你影响范围。这种命名法很工程师思维：不追求好听，追求检索效率。

也有翻车的。CVE-2020-1472，Zerologon。名字听起来像个安全工具，其实是Netlogon协议里的一个提权漏洞。攻击者可以在几秒内拿到域控权限。名字起得太温和，导致早期很多人没当回事。后来Exploit公开，域控被横扫，大家才反应过来。一个漏洞的名字如果让人放松警惕，那它本身就是个隐患。

中文圈还有自己的造词习惯。“心脏出血”是直译，“破壳”是意译，“脏牛”是Dirty COW的直译加意译混合。2016年那个Linux内核提权漏洞，Dirty COW，中文叫“脏牛”。听起来像骂人，但传播效果极好。你让一个运维去修CVE-2016-5195，他可能拖到下午。你说“脏牛提权，赶紧打补丁”，他五分钟就上机器了。

简称的本质是降低认知成本。安全行业每天新增几十个CVE，没人有精力记全称。一个漏洞能不能被快速记住，有时候真的影响它的修复速度。名字起得好，补丁打得早。名字起得烂，或者干脆没名字，那就只能躺在扫描报告里吃灰。

但简称也有代价。同一个漏洞在不同圈子里叫法不一样，沟通时得先对齐术语。更麻烦的是，有些简称会混淆。比如“永恒之蓝”和“永恒浪漫”，都是NSA工具包里的，但一个是SMB漏洞，一个是另一个SMB漏洞。你光说“永恒”，对方得愣三秒。

所以下次看到CVE编号别急着跳过。先看看它有没有简称，简称是什么，谁起的。一个漏洞的名字里，藏着它的传播史、影响力和整个安全圈的集体记忆。