中国国家漏洞库漏洞共享平台

2023年8月，中国一个Apache Log4j2的漏洞高危漏洞在CNVD上被提交后不到48小时，国内超过三千家企业的库漏安全团队就收到了预警推送。这不是洞共什么商业安全公司的服务，而是享平中国国家漏洞库漏洞共享平台（CNVD）的日常操作。很多人听说过这个平台，中国但真正了解它怎么运转、漏洞数据从哪来、库漏又流向哪里的洞共人，其实不多。享平

CNVD的中国全称是国家信息安全漏洞共享平台，2009年由CNCERT牵头成立。漏洞它的库漏核心任务很直白：收集、验证、洞共发布和共享网络安全漏洞信息。享平说白了，就是给国内的漏洞建立一个统一的“档案库”，让厂商、用户和安全研究者能在同一个地方看到权威的漏洞数据。截至2024年初，CNVD收录的漏洞总数已经超过20万条，其中高危漏洞占比接近三成。这个数字背后，是每天几十到上百条的新增提交量。

漏洞从哪来？渠道比想象中杂。安全研究者主动提交是一大来源，厂商在修复自家产品漏洞后也会同步报送，另外还有大量来自国际合作渠道和公开情报的抓取。CNVD的运营团队会对每一条提交做验证——不是简单地登记入库，而是要复现漏洞、确认影响范围、评估危害等级。这个过程有时候几天，有时候几周。一个典型的例子是某国产OA系统的SQL注入漏洞，提交者只给了一段模糊的描述，CNVD的技术人员花了三天时间搭建环境、反复测试，最终确认了利用路径，才正式发布公告。

发布之后的动作更关键。CNVD会向受影响厂商直接发送通知，要求限期修复。厂商不响应怎么办？平台会升级处理，必要时通过行业主管部门督促。这种机制在党政机关和关键信息基础设施领域尤其管用。2022年某省级政务云平台被曝出存在远程代码执行漏洞，CNVD当天就联系了运维方，第二天补丁就上线了。这种速度，靠的不是什么黑科技，而是平台与厂商之间长期建立的响应通道和通报压力。

普通用户能不能用CNVD？能，但得知道怎么用。官网提供漏洞搜索和订阅功能，注册后可以按关键词、危害等级、时间范围筛选。安全运维人员通常会订阅高危漏洞的邮件提醒，这样一旦有影响自家系统的漏洞出现，能第一时间收到。不过CNVD的公告写得比较技术化，没有安全背景的人看起来会吃力。这算是一个门槛，但换个角度想，漏洞信息本身就不适合过度简化——少写一个条件，可能就有人误判风险。

这个平台也有它的局限。漏洞提交的激励机制不够强，白帽子更愿意把高危漏洞卖给商业漏洞平台，因为那边有真金白银的奖励。CNVD更多靠的是责任感和行业影响力在维持投稿量。另外，部分厂商对漏洞披露态度消极，拖时间、压热度的情况时有发生。CNVD虽然能施压，但面对一些体量大的厂商，推动力也有限。这些问题不是CNVD独有的，全球范围内的漏洞共享平台都面临类似困境。

从实际效果看，CNVD最大的价值在于把分散的漏洞信息集中到了一个权威出口。以前厂商各自为政，用户要追十几个来源才能拼出完整的安全态势。现在至少有一个地方能查到经过验证的、带修复建议的漏洞档案。这不能解决所有问题，但确实让漏洞响应这件事变得有章可循。对于国内做安全的人来说，CNVD不是万能的，但没有它，很多漏洞可能至今还藏在暗处。