《网络产品安全漏洞管理规定》是网络2021年9月1日正式施行的部门规章，由工信部、产品国家网信办、安全公安部联合发布。漏洞它的管理规定核心逻辑就一句话：漏洞不能随便藏，也不能随便捅。网络

过去几年，产品漏洞这事挺乱的安全。厂商发现了漏洞，漏洞有的管理规定悄悄修，有的网络干脆装不知道；安全研究者发现了，有的产品直接公开，有的安全拿到境外平台卖钱；更麻烦的是，有些漏洞被黑产先捞走，漏洞用户成了最后知道的管理规定人。2020年某国产OA系统爆出远程代码执行漏洞，补丁还没发，攻击流量已经扫遍了全网。这种事不是第一次，也不会是最后一次。规定就是冲着这种乱象来的。

它给不同角色划了线。网络产品提供者——也就是厂商——发现漏洞后，必须在2日内向工信部网络安全威胁和漏洞信息共享平台报送。注意，是“发现”后2日，不是“确认”后，也不是“修复”后。这个时限卡得很死。同时，厂商不能拿漏洞当营销工具，比如“我们第一时间修复了某个高危漏洞”这种话，得先报备再宣传。更不允许在漏洞修补前把细节透露给第三方，哪怕是合作伙伴也不行。

安全研究者这边，规定没有禁止挖漏洞，但要求“不得在未授权情况下对网络产品进行漏洞探测和验证”。翻译一下：你可以在自己搭的环境里研究，不能扫别人的系统。发现漏洞后，也不能直接发到GitHub或者推特上，得先报给厂商或者平台。这条争议不小。有人觉得限制了披露自由，但换个角度想，漏洞细节一旦公开，黑产比用户先看到，后果谁扛？

还有一类角色容易被忽略：漏洞收集平台。像补天、漏洞盒子这些，以前各自为政，现在得向工信部备案。平台上的漏洞信息不能随便给境外组织或个人。2022年有个案例，某平台把国内某电商的漏洞详情卖给了境外漏洞库，被查了。规定出来后，这种操作基本堵死了。

处罚力度不算轻。厂商漏报、迟报、瞒报，最高罚10万，直接负责人再罚1到5万。对个人研究者，违规披露可能面临行政处罚甚至刑事责任。10万对大厂不算什么，但“责令暂停相关业务”这一条杀伤力大。真被暂停了，业务停摆的损失远超罚款。

实际执行中，厂商的反应速度确实快了。以前一个漏洞从发现到报备拖一两周很正常，现在内部流程基本压到24小时内。安全研究者也变了，以前挖到洞先发朋友圈，现在先填平台表单。当然，也有抱怨的声音，说2日太紧，复杂漏洞光验证都不止两天。但监管的逻辑是：你先报，哪怕信息不全，后面可以补。藏着不报，性质就变了。

这规定不是孤立的。它跟《网络安全法》《数据安全法》串在一起，补上了漏洞管理这块拼图。以前出了事，追责到厂商就停了；现在从发现、报送、修复到披露，每个环节都有责任人。漏洞不再是技术圈内部的事，它成了合规问题。

说到底，漏洞是客观存在的，修不完也挖不完。规定要解决的不是“没有漏洞”，而是“漏洞被谁先知道、怎么用”。把漏洞信息从黑箱里拽出来，放进一个可控的通道里。这个通道顺不顺、堵不堵，还得看后续的执行细则和平台的实际运转。但方向定了：漏洞不能成为少数人的筹码。