《网络安全法》第二十二条摆在那里，发现白纸黑字写着：网络产品、漏洞服务的当日提供者发现其网络产品、服务存在安全缺陷、发现漏洞等风险时，漏洞应当立即采取补救措施，当日按照规定及时告知用户并向有关主管部门报告。发现问题就出在这“及时”两个字上。漏洞什么叫及时？当日一天算不算？三天算不算？一个月呢？法律没给死线，但现实里的发现钟表走得比法条快得多。

2021年，漏洞某家做物联网摄像头的当日厂商在内部测试时发现了一个缓冲区溢出漏洞。工程师当天就写了报告，发现但这份报告在部门经理的漏洞邮箱里躺了四天。四天里，当日没人利用这个漏洞，可四天之后漏洞细节被泄露到了某个技术论坛上。厂商这才慌了，连夜发补丁、发公告。事后监管约谈，问的第一句话就是：你们为什么第四天才报？厂商辩解说，我们在评估影响范围。监管说，评估可以，但报告不能等。

这件事在圈子里传开之后，很多安全团队开始给自己定内部规矩。我见过一家做金融App的公司，他们的流程是：漏洞确认后两小时内必须同步给安全负责人和法务，二十四小时内完成内部定级并决定是否上报。他们的安全总监跟我说，这个“二十四小时”不是拍脑袋来的，是参考了欧盟《网络与信息系统安全指令》里关键基础设施运营者的报告时限——早期预警二十四小时，正式通报七十二小时。他说，国内虽然没写这么细，但你按这个节奏走，至少不会被人说“不及时”。

那到底几日内向谁报告？拆开看。向谁？如果是关键信息基础设施运营者，向保护工作部门报告；如果是普通网络运营者，向属地网信部门或公安网安部门报告。至于“几日内”，实操中有一个被广泛引用的参考值：七十二小时。这个数字来自《网络安全事件报告管理办法（征求意见稿）》，里面把事件分为特别重大、重大、较大、一般四级，较大以上事件要求二十四小时内报告，一般事件要求七十二小时内报告。漏洞本身不是事件，但漏洞被利用之后就是事件。所以安全圈里默认的潜规则是：能复现的、有利用可能的漏洞，七十二小时内至少要让监管知道你在处理。

但别把七十二小时当成护身符。去年有个案例，某电商平台的一个逻辑漏洞能绕过支付验证，白帽子提交到SRC之后，平台安全团队花了两天修复，修复完才想起来没上报。结果第三天有人利用同一个漏洞薅了十几万。监管倒查的时候，平台说我们修了啊。监管说，你修的时候为什么不报？漏洞存在期间用户资金处于风险中，你沉默的每一天都是在赌。最后罚了八十万。

我的判断很简单：法律没写具体天数，但“立即采取补救措施”和“及时告知报告”是并列的。补救和报告可以同步进行，不是先修完再报。真要给一个操作口径——发现漏洞后二十四小时内完成内部评估并启动报告流程，七十二小时内向对应主管部门提交书面报告。如果漏洞正在被利用，别等，立刻报。那个“几日内”的答案，取决于漏洞有没有在被人当枪使。没有，七十二小时是底线；有，一小时都嫌多。

最后说个细节。很多公司卡在“向谁报”这一步。网信办、公安、工信部、行业主管，到底找哪个？一个取巧的办法：看你公司注册地，属地网信办是兜底选项。他们收到报告后会内部流转到对应部门。别因为搞不清门牌号就拖着不报，拖着本身就是最大的漏洞。