```html

2021年冬天，国家共享Apache Log4j2 的信息漏洞像野火一样烧遍了全球互联网。那个周末，安全很多国内安全工程师彻夜未眠，漏洞一边追踪修复方案，平台一边刷新同一个网站——cnvd.org.cn。国家共享这个域名背后，信息就是安全国家信息安全漏洞共享平台（CNVD）。它不是漏洞商业公司，不卖防火墙，平台也不做渗透测试，国家共享但它手里握着一份几乎每个安全从业者都绕不开的信息漏洞清单。

CNVD 成立于 2009 年，安全由中国互联网络信息中心（CNNIC）和国家互联网应急中心（CNCERT）联合运营。漏洞说白了，平台它干的事很具体：收集、验证、通报、披露。一个漏洞从被发现到公开，中间要经过提交、复现、厂商确认、修复建议、风险评级这几道关。CNVD 的编辑们会亲自去验证漏洞是否真实存在，而不是像某些平台那样只做信息搬运。我见过一份提交记录，某款国产 OA 系统的 SQL 注入漏洞，提交者只给了 URL 和 payload，CNVD 的人自己搭了环境，截图、抓包、确认影响范围，前后花了三天。这种笨功夫，商业漏洞库很少愿意做。

它的漏洞编号格式是 CNVD-YYYY-XXXXX，和 CVE 编号并行使用。国内很多甲方在写安全报告时，会同时标注 CVE 和 CNVD 编号，因为有些漏洞只影响国产软件，CVE 根本没收。比如某款广泛使用的国产数据库管理工具，2020 年爆出一个未授权访问漏洞，CVE 没有收录，CNVD 给了编号，厂商第二天就发了补丁。这种响应速度，靠的是 CNVD 和国内厂商之间那条不算正式但很管用的通报渠道。

有人觉得 CNVD 的漏洞披露太慢，不如某些境外平台激进。但慢有慢的道理。一个漏洞从确认到公开，CNVD 会给厂商留出修复窗口，通常是 30 到 60 天。超期不修，才会强制披露。这个节奏在安全圈里争议不小，有人骂它护短，有人夸它务实。我的观察是：CNVD 更像一个协调者，而不是裁判。它手里没有执法权，能做的就是把厂商、白帽子、监管方拉到同一张桌子上。桌子有时候晃，但总比没有桌子强。

普通用户其实也间接用过 CNVD 的成果。你手机上的某款输入法、家里的某台智能路由器、公司内网的那套 OA 系统，它们的漏洞被 CNVD 收录后，厂商推的补丁里就有 CNVD 的功劳。只是没人会在更新日志里写“感谢 CNVD 提交者”。

去年我参加一个安全沙龙，旁边坐了一位 CNVD 的漏洞审核员。他手机响个不停，全是厂商发来的修复进度邮件。我问他一天要看多少份提交，他说旺季一天两三百份，能验证通过的不到三成。剩下的要么是重复提交，要么是危害描述夸大，要么干脆是扫描器误报。他说这话时语气平淡，像在说今天食堂的菜有点咸。但就是这群人，撑起了国内漏洞生态里最基础的那层过滤网。

CNVD 的官网设计谈不上好看，甚至有点过时。搜索框、编号列表、风险等级标签，信息密度很高，但找东西不算方便。可每到重大漏洞爆发，这个略显笨拙的网站就会被挤爆。2022 年 Spring 框架漏洞那回，我刷了十几次才打开详情页。那一刻你会觉得，这个平台的存在本身，比它的界面重要得多。

```