2023年8月，网络某国产数据库的安全一个远程代码执行漏洞在GitHub上被人公开。从提交到PoC（概念验证代码）流出，漏洞中间隔了不到48小时。公布厂商的平台补丁还没写完，全球的网络扫描器已经开始批量探测了。这事要搁十年前，安全一个高危漏洞从发现到被大规模利用，漏洞通常有几周甚至几个月的公布窗口期。现在这个窗口正在被压缩到以小时计。平台

漏洞公布平台在这个链条里扮演的网络角色，比大多数人以为的安全要复杂得多。

谁在公布，漏洞公布给谁看

最被安全圈熟知的公布平台大概是美国的NVD（国家漏洞数据库）和MITRE的CVE体系。CVE给每个漏洞分配一个编号，平台NVD在此基础上补充CVSS评分和技术细节。国内对应的是CNNVD和CNVD，前者隶属中国信息安全测评中心，后者归国家互联网应急中心管。这两套体系并行运行了好些年，厂商和研究者经常搞不清该往哪边报。

但真正让厂商头疼的往往不是这些官方平台，而是像Exploit-DB、Packet Storm这类社区驱动的站点。它们不等厂商补丁，只要有人提交PoC就敢发。Exploit-DB的审核周期通常只有几天，有时候更快。一个漏洞一旦在上面挂了号，脚本小子们拿着现成的利用代码就能上手。

还有一类更微妙的——暗网论坛和Telegram群组里的私下交易。这些不在公开平台的范畴内，但它们直接影响公开平台的信息节奏。一个漏洞先在地下卖了几个月，等买家把该薅的羊毛薅完了，再匿名丢给公开平台。这时候厂商才知道自己有个洞，但攻击者早就进出自如了。

披露时机的博弈

Google的Project Zero团队有个著名的90天披露政策：发现漏洞后通知厂商，给90天修，到期不管修没修好都公开。这个政策2014年推出时争议很大，微软就公开抱怨过好几次，说90天不够走完他们的安全开发生命周期。但Project Zero没松口。他们的逻辑很直白——攻击者不会等你的SDL流程走完才动手。

这个政策确实逼出了不少紧急补丁。2019年，Project Zero发现了一个Windows内核提权漏洞，微软在截止日前三天才推了修复。差一点就裸奔了。

国内厂商对披露时机的态度更保守。不少公司倾向于和厂商协商一个“合适的时间”，有时候这个协商能拖上半年。安全研究者夹在中间很难受：提前公布吧，可能被厂商拉黑，以后拿不到测试授权；不公布吧，用户一直暴露在风险里。

平台本身的漏洞

讽刺的是，漏洞公布平台自己也出过事。2021年，一个攻击者通过NVD的API接口缺陷，批量拉取了大量未公开的漏洞详情。这些信息本来应该等厂商修复后再释放，结果被提前泄露了。NVD后来修补了接口权限，但那次事件暴露了一个问题：集中化的漏洞数据库本身就是高价值目标。

国内某漏洞平台也发生过类似情况。一个白帽子提交了某电商平台的支付逻辑漏洞，平台在审核期间把漏洞详情同步给了厂商，但厂商的安全对接人把信息转发到了一个外部微信群。漏洞还没修，群里已经有人开始测试了。这事后来不了了之，白帽子直接注销了账号。

普通人需要关心吗

如果你不是安全从业者，漏洞公布平台听起来很遥远。但你手机上的系统更新、浏览器隔三差五的补丁、公司IT部门半夜发的紧急通知，背后都是这些平台在驱动。一个漏洞从公布到出现在你的设备更新日志里，中间要经过厂商分析、补丁开发、测试、分发，这个链条上任何一环慢了，你的设备就多暴露一天。

所以下次看到“紧急安全更新”的弹窗，别急着点“稍后提醒”。那个补丁背后，可能是一个安全研究者盯了几周的代码，一个平台编辑反复确认的披露时间，以及一群攻击者已经在写利用脚本的倒计时。