低危漏洞必须处理吗

低危漏洞必须处理吗？低危我的答案是：必须处理，但处理方式不是漏洞“立刻修”，而是必须“列入计划，限期修复”。处理

说个真实案例。低危去年我们公司做渗透测试，漏洞扫出来一个低危漏洞——某个内部系统的必须登录接口没有验证码，允许暴力破解。处理安全报告上标注“低危”，低危因为系统不对外网开放，漏洞且密码策略强制12位以上。必须运维看了一眼，处理说“低危啊，低危那下季度再说吧”。漏洞结果呢？必须三个月后，有人用撞库的方式试出了某个离职员工的账号——密码是“Abc@123456”，符合12位要求，但属于弱密码字典。进去之后，那人把客户通讯录导走了。事后复盘，如果当时给这个接口加个验证码，或者强制MFA，这个事根本不会发生。

低危漏洞的真正问题，不在于它本身危害多大，而在于它通常是攻击链条的“起点”。你看着单个低危漏洞人畜无害，可一旦跟其他漏洞组合起来，就能变成中危、高危。打个比方，你家门锁是C级锁芯（高安全），但窗户没关紧（低危）。小偷不一定非走门，他可以从窗户爬进来。低危漏洞就是那扇没关紧的窗户。

但另一个极端也得防着——有些团队风声鹤唳，看见低危就当天修，结果把业务系统搞崩了，或者改了配置后其他功能失灵，反而制造出更大的问题。我见过一个团队，为了修复一个“信息泄露”类低危漏洞（某个API返回了多余的字段），把整个接口重写了，结果新接口没做权限校验，直接变成高危越权漏洞。这属于典型的“修复动作比漏洞本身更危险”。

所以正确处理姿势是什么？分三步。
第一，先看这个低危漏洞是否暴露在攻击面大的位置。比如公网可达、无需认证、涉及敏感数据——哪怕评级低，也要优先处理。反之，如果在内网深处，且有防火墙隔离，可以缓一缓。
第二，评估可利用难度。有些低危漏洞需要物理接触或者已登录用户才能触发，那实际风险就非常低，完全可以放到常规迭代窗口里修。
第三，设定一个“低危修复时限”。别无限期拖延，建议最长不超过一个季度。哪怕不紧急，也不能拖到明年。因为你的网络环境会变，人员会流动，新的攻击手段也在不断出现——今天没法利用的低危，明天可能就变成突破口。

说到底，低危漏洞不是“要不要处理”的问题，而是“怎么排优先级”的问题。安全团队不该把所有漏洞一视同仁地“立刻修”，也不该因为评级低就视而不见。最好的做法是：给每个低危漏洞标上“业务影响”和“可利用条件”两个维度，然后根据实际情况决定是本周修、本月修还是本季度修。只要不无限期搁置，低危漏洞就永远是“低危”，而不是一颗定时炸弹。