2023年8月，中国CNVD（国家信息安全漏洞共享平台）发布了一则关于某国产OA系统的漏洞高危漏洞公告。公告编号CNVD-2023-XXXXX，共享危害级别"高"，平台影响范围覆盖了国内近三千家政府单位和企业的中国内网系统。这条公告从提交到公开，漏洞用了不到72小时。共享
很多人没听说过CNVD。平台但在国内做安全的中国人，几乎每天都要刷它的漏洞页面。
它到底是共享个什么东西
CNVD由中国互联网络信息中心（CNNIC）和国家互联网应急中心（CNCERT）联合运营，2009年上线。平台定位很直接：收集、中国验证、漏洞发布和共享网络安全漏洞信息。共享说得再直白一点，它是国内漏洞披露的"官方通道"。
厂商自己发现了漏洞，可以提交上来；白帽子挖到了洞，也可以提交；甚至安全公司在给客户做渗透测试时发现的漏洞，同样可以走这个渠道。CNVD收到后会做验证，确认存在就联系厂商，给厂商一段时间修复，修复完成后公开细节。
这个流程听起来简单，但实际运转中有不少门道。
一个漏洞的"旅程"
拿一个真实案例来说。某安全研究员在2022年底发现某政务平台存在SQL注入漏洞，通过这个漏洞可以直接读取后台数据库。他把细节整理好，通过CNVD的在线提交系统上传。第二天收到确认邮件，第三天CNVD反馈说已复现，正在联系厂商。
厂商那边反应不算快。拖了将近两周才给出修复方案。这期间CNVD没有公开任何信息——这是规矩，给厂商留出修复窗口期。但如果厂商一直不回应呢？CNVD有强制公开机制，一般是90天。超过这个期限，不管厂商修没修，漏洞细节都会向社会公开。
这个机制有争议。厂商觉得压力大，安全研究员觉得90天太长。但站在CNVD的角度，它需要在披露透明度和厂商利益之间找一个平衡点。这个平衡点不可能让所有人满意。
数据里能看到什么
翻CNVD每年发布的年度报告，有几个数字挺有意思。2022年全年收录漏洞约2.5万个，其中高危漏洞占比超过30%。从类型上看，SQL注入、跨站脚本、命令执行这三类常年排在前列。从厂商分布看，中小型软件厂商的产品占了很大比例。
这反映了一个现实：国内大量中小软件厂商在安全开发上的投入严重不足。产品功能堆上去了，安全测试没跟上。等漏洞被挖出来提交到CNVD，才手忙脚乱去补。
另一个现象是，CNVD收录的漏洞里，有相当一部分来自国外厂商的产品。Cisco、Apache、Oracle这些，每次爆出高危漏洞，CNVD基本都会同步收录并发布预警。这说明漏洞共享这件事本身没有国界，至少在这个层面上是这样。
和白帽子的关系
CNVD有一套漏洞提交的奖励机制，但说实话，物质奖励并不高。更多白帽子愿意往CNVD提交，看重的是"合规"两个字。国内法律环境对漏洞挖掘的态度一直比较微妙，《网络安全法》和《数据安全法》出台后，未经授权测试他人系统可能触碰法律红线。通过CNVD提交，相当于给自己加了一层保护。
但也不是没有矛盾。有些白帽子抱怨CNVD的审核周期太长，反馈不够及时。还有人觉得CNVD对漏洞等级的判定标准不够透明。这些问题确实存在，运营方也在调整，比如近几年增加了与第三方漏洞平台的联动。
它不完美，但缺不了
CNVD不是唯一的漏洞披露渠道，但它是最具官方色彩的那个。对厂商来说，收到CNVD的通知意味着事情已经进入正式流程，不能装没看见。对安全从业者来说，CNVD的公告是日常威胁情报的重要来源。对普通用户来说，你可能永远不需要直接访问这个平台，但你用的软件、系统能及时打上补丁，背后就有它在起作用。
这个平台有很多可以改进的地方。审核效率、沟通透明度、与厂商的协作机制，都有提升空间。但在当前的环境下，它承担的角色没有替代品。