内容摘要：2023年8月，某国产数据库被曝出一个远程代码执行漏洞。从提交到国家信息安全漏洞库CNNVD）到厂商发布补丁，前后不到72小时。这个速度放在五年前不可想象——那时候一个高危漏洞从发现到修复，拖上几周甚

2023年8月，国家国某国产数据库被曝出一个远程代码执行漏洞。信息信息从提交到国家信息安全漏洞库（CNNVD）到厂商发布补丁，漏洞漏洞前后不到72小时。库和这个速度放在五年前不可想象——那时候一个高危漏洞从发现到修复，平台拖上几周甚至几个月都算常态。国家国

CNNVD，信息信息全称中国国家信息安全漏洞库，漏洞漏洞2009年上线，库和挂在中国信息安全测评中心下面。平台它的国家国核心工作就三件事：收集漏洞、验证漏洞、信息信息给漏洞定级。漏洞漏洞听起来简单，库和但做起来是平台另一回事。漏洞来源五花八门——安全厂商提交、白帽子挖到后报送、国外CVE公开后同步收录、甚至厂商自己主动报备。每一条进来，都要经过人工验证，确认复现条件、影响范围、利用难度，然后打上编号，归入数据库。

这套流程的痛点在于：验证要时间，厂商响应要时间，而攻击者不等人。一个漏洞从被公开到出现野外利用，有时候只有几个小时。2021年Log4j2那个核弹级漏洞，全球安全团队连夜加班，CNNVD也在第一时间跟进，但真正让企业能查到自己是否受影响，靠的不只是数据库里一条记录。

这就得说国家信息安全漏洞共享平台（CNVD）。名字和CNNVD很像，但定位不同。CNVD由国家互联网应急中心（CNCERT）运营，更偏向漏洞的共享和应急响应。CNNVD侧重漏洞库的权威性和标准化，CNVD则更像一个信息枢纽——把漏洞信息推给运营商、银行、能源企业这些关键基础设施单位，让他们赶紧排查。

两个平台之间有协作，也有分工。CNNVD的编号格式是CNNVD-年份-编号，CNVD是CNVD-年份-编号，各自独立但又互相参照。实际使用中，安全从业者往往两个都查。我自己的习惯是：先看CNNVD确认漏洞定级和影响版本，再去CNVD看有没有针对性的处置建议和行业预警。

有个细节值得说。CNNVD的漏洞定级不是简单照搬CVSS评分。CVSS给的是技术层面的严重程度，但CNNVD会结合国内实际——比如某个漏洞影响的组件在国内部署量极大，定级就会往上提。这种“本地化”判断，国外漏洞库不会做，也做不了。

不过问题也存在。漏洞提交的激励机制不够透明，白帽子更愿意把漏洞卖给漏洞赏金平台或者直接报给厂商，因为反馈快、有奖金。CNNVD的收录流程相对长，有时候一个漏洞提交上去，等验证等得黄花菜都凉了。这不是技术问题，是运营机制的问题。

另一个现实是：漏洞库的价值不在于收录了多少条，而在于有多少条被真正用起来。企业安全团队不会天天刷漏洞库，他们依赖的是推送——邮件、API、订阅feed。CNNVD和CNVD都提供这些，但推送的及时性和精准度，还有提升空间。我见过太多企业收到漏洞预警时，补丁早就打完了，或者漏洞根本不影响他们的系统，纯属噪音。

说到底，漏洞库和漏洞平台是基础设施，不是万能药。它们能做的，是把散落各处的漏洞信息汇聚起来，验证、定级、分发。但真正堵住漏洞的，还是厂商的响应速度和用户的patch管理。平台再快，厂商不发补丁，一切白搭。

2024年初，CNNVD公布的数据显示，全年新增漏洞超过2.5万个，高危占比接近三成。这个数字每年都在涨。漏洞不会消失，只会越来越多。漏洞库和平台要做的，是在这场没有终点的赛跑里，尽量跑得快一点。