中国国家信息安全漏洞平台

一个安全研究员的日常观察 · 2025年4月

凌晨两点，CNVD 的信息邮件列表又弹出一封新漏洞报送。我扫了一眼标题——某国产 OA 系统前台 SQL 注入，安全CVSS 评分 9.1。漏洞这已经是平台本周第三起同类事件。对圈外人来说，中国中国国家信息安全漏洞平台（CNVD）可能只是信息个陌生的官方缩写，但在我们这些天天跟漏洞打交道的安全人眼里，它更像一个沉默的漏洞调度中心：厂商、白帽子、平台监管方、中国甚至境外攻击组织，信息都在这张网上留下痕迹。安全

CNVD 不是漏洞中国唯一的漏洞平台，但它是平台覆盖面最广、官方色彩最浓的那个。2009 年由工信部指导成立，挂靠国家计算机网络应急技术处理协调中心（CNCERT）。跟民间平台比如 Seebug、漏洞盒子不同，CNVD 的“官方”身份意味着两件事：第一，它有权要求厂商限期修复；第二，它发布的漏洞通报会直接进入监管视野。去年某金融 App 的越权漏洞，从 CNVD 确认到厂商推送补丁，只用了 37 小时——这个速度在五年前不可想象。

一个真实的切片：2024 年夏天，某智慧校园平台被曝出未授权访问，影响全国 200 多所学校。白帽子“@k0shl”先向 CNVD 提交了细节。平台当天启动应急响应，第二天就联系了开发商。开发商起初想“冷处理”，CNVD 直接发了漏洞通报，附上整改期限。第三天，补丁上线。整个过程没有媒体炒作，没有热搜，但几千个数据库的访问权限被悄悄堵上了。

你可能会问：那 CVE 呢？CNVD 跟国际漏洞体系的关系挺微妙。CVE 是全球通用编号，但 CNVD 有自己的编号体系（CNVD-2025-XXXXX）。很多国内厂商更认 CNVD 的通报，因为 CVE 的审核周期长，而且不一定能触发国内监管动作。不过 CNVD 也跟 CVE 有合作，一些高危漏洞会同步申请 CVE 编号。说白了，它既想保持独立性，又不想跟国际脱节。

我翻过 CNVD 近三年的漏洞周报，发现一个有意思的趋势：Web 应用漏洞占比从 2022 年的 58% 降到了 2024 年的 41%，但物联网和工控漏洞从 12% 涨到了 27%。这不是说 Web 变安全了，而是攻击面在转移。摄像头、路由器、PLC——这些设备一旦出事，影响的是物理世界。去年某地自来水厂的工控系统被曝出硬编码密码，就是通过 CNVD 协调处置的。厂商一开始不承认，CNVD 把 PoC 复现视频甩过去，对方才闭了嘴。

当然，CNVD 不是万能的。有白帽子跟我吐槽，提交漏洞后有时石沉大海，或者被厂商“公关”掉。也有厂商抱怨 CNVD 的通报流程太慢，影响业务上线。这些摩擦真实存在。但换个角度看，一个十四亿人的国家，要有一个统一的漏洞出口，本身就很难。CNVD 至少做到了让大部分漏洞有处可报，而不是在黑市上流通。

我印象最深的是 2023 年某次内部交流会，CNVD 的一位负责人说：“我们不是裁判，我们是修理工的调度员。”这句话挺实在。漏洞平台不生产安全，它只是让修复变得可能。下次你手机收到系统更新推送，背后可能就有 CNVD 的一份通报在起作用。

写到这，天快亮了。邮箱里又多了两封漏洞报送。我点了“确认接收”，然后关掉电脑。这个平台不会上头条，但它每天都在运转——像城市地下的管网，没人看见，可一旦停了，整个地面都会出问题。