```html

国家漏洞平台官网

第一次点开 国家漏洞平台官网（www.cnnvd.org.cn）的时候，我正蹲在客户机房排查一个 Struts2 的漏洞远程命令执行。那会儿是平台 2021 年春天，Apache 刚爆出 CVE-2021-26295，国家官网官方补丁还没出，漏洞网上已经有人贴 PoC 了。平台我一边翻着国外邮件列表，国家官网一边顺手打开了 CNNVD 的漏洞页面。说实话，平台当时没抱太大期望——国内很多安全站点要么更新慢，国家官网要么把漏洞描述写得像天书。漏洞但那次刷新了我对它的平台印象。

页面很朴素，国家官网甚至有点“政务风”。漏洞左边是平台分类导航，中间是漏洞列表，右边挂着几个统计数字。没有花哨的动画，也没有弹窗广告。我直接搜了“Struts2”，出来的条目排得整整齐齐，每个漏洞都有 CNNVD-ID、危害等级、参考链接，还有一段中文描述。描述不是机翻的，读起来像人写的。比如那个 S2-061 的条目，写着“攻击者可通过构造恶意请求在目标服务器上执行任意代码，无需认证”，后面还补了一句“建议升级至 2.5.26 及以上版本”。干净，利落，够用。

后来我养成了习惯。每次看到国外披露的新漏洞，先去 NVD 看英文原文，再回头刷一眼 CNNVD。两边对比着看，经常能发现有意思的差异。NVD 的 CVSS 评分有时候给得偏高，CNNVD 会结合国内实际环境重新评估。比如某个只在特定中间件版本下才能触发的反序列化漏洞，NVD 给了 9.8，CNNVD 标成“高危”但附注了“利用条件较苛刻”。这种微调不是拍脑袋，背后是有一批人在做验证和复现。

我印象最深的是 2022 年 Log4j2 那波。凌晨三点，朋友圈被刷屏，我爬起来开电脑，先看 CNNVD 有没有动静。果然，凌晨四点出头，首页已经挂出了 CNNVD-202112-1234 的预警，比很多安全厂商的公众号还快。点进去，漏洞描述、影响范围、临时缓解措施、官方补丁链接，全齐了。底下还附了一个“相关漏洞”的列表，把之前几个 Log4j 的历史漏洞也串了起来。那会儿我一边给客户发邮件，一边想：这网站背后的人，估计也在熬夜。

当然，它也不是没毛病。搜索功能偶尔抽风，输入 CVE 编号有时候要等好几秒才出结果。有些漏洞的“更新时间”比“发布时间”晚了好几个月，说明后续补充了细节，但页面没给更新日志，只能自己对比。还有一次，我点开一个 2019 年的老漏洞，发现参考链接里有个国内厂商的公告页已经 404 了。这些细节不算致命，但用起来会咯噔一下。

“漏洞库的价值不在于收录了多少条，而在于每一条都有人认真看过。”——这是我一个做安全研究的朋友说的，我挺认同。

现在 CNNVD 的首页上，漏洞总数已经过了 20 万。这个数字每天还在涨。我偶尔会翻翻“最新漏洞”列表，看看有没有自己没关注到的组件。有时候看到一些冷门开源项目的漏洞，下面只有一条参考链接，描述也写得简短，但至少它被记录下来了。这比什么都重要。一个漏洞从被发现到被公开，中间可能隔着几个月甚至几年。有人把它整理出来，标上等级，给出修复建议，放在一个公开的、不需要翻墙的网站上——这件事本身就有意义。

如果你是个运维，或者搞安全的，我建议你把 CNNVD 加进书签栏。不用天天看，但遇到突发漏洞的时候，先去那儿搜一下。它的中文描述和国内网络环境适配得不错，比直接啃英文邮件列表省事。至于那些吐槽它界面丑、搜索慢的——嗯，我承认。但话说回来，一个漏洞平台，核心是数据准不准、更新快不快。这两点，它做得比大多数人都好。