凌晨两点十七分，漏洞某电商平台的多少数据库突然开始吐数据。不是漏洞正常的那种吐，是多少像吃坏肚子一样，把用户手机号、漏洞家庭住址、多少历史订单一股脑全喷了出来。漏洞安全工程师老周盯着监控屏上跳动的多少红色告警，骂了句脏话，漏洞然后打开漏洞报告系统，多少在“严重程度”那一栏犹豫了整整三分钟。漏洞

这个犹豫很要命。多少漏洞评分系统（CVSS）告诉他，漏洞这个SQL注入漏洞基础分9.8，多少属于“严重”。漏洞但老周清楚，真正决定分数的从来不是技术参数。三天前刚做完等保测评，下周要过ISO27001年审，再下周是集团安全月汇报——如果现在报“严重”，意味着要启动应急响应，要写事故报告，要惊动分管副总，要在大老板面前承认自己负责的系统有洞。他最后填了“中危”。

漏洞的分数从来不是算出来的，是谈出来的。

我见过最离谱的一次，某金融公司核心交易系统有个逻辑漏洞，理论上可以无限充值。安全团队报了9.0分，运维老大直接拍桌子：“你知道这个系统上线多久了吗？你知道改代码要走多少审批流程吗？”最后分数改成4.0，理由写的是“需物理接触内部终端方可利用”。没人提那个终端就在营业厅柜台，保安根本不拦。

反过来也有。某创业公司做个内部OA，就十几个员工用，有个权限绕过漏洞顶多算“低危”。但刚好赶上B轮融资尽调，安全负责人把分数抬到7.5，报告写得像被黑客攻破过八百回。融资顺利到账后，那个漏洞再没人提过——它本来就不重要，重要的是那个分数出现在尽调报告里的位置。

说穿了，漏洞评分系统是个心理工具。它假装客观，用一堆公式算出0到10的数字，好像漏洞的危险程度像温度一样可以测量。但真正的变量全在公式外面：业务重要性、领导情绪、财报周期、甚至安全团队在公司的地位。同样一个反序列化漏洞，在游戏公司可能值8分，在政务云可能值9.5，在某个濒临裁员的传统企业IT部——能值一个岗位。

有个老前辈跟我讲过他的土办法。遇到漏洞不急着评分，先问三个问题：这个系统挂了老板会不会知道？数据泄露了能不能花钱摆平？修复要动几个部门的蛋糕？三个问题答完，分数自然就有了。他干了十五年安全，从没出过大事，因为他真正评估的不是漏洞，是人。

所以你说漏洞多少分？

技术分是给合规看的，业务分是给老板看的，政治分才是给自己看的。老周最后填了“中危”，但他连夜写了十七页的内部备忘录，详细记录了漏洞的利用方式和潜在影响。没人会看到那份备忘录——除了他自己。他知道真正的分数记在那里，比任何CVSS都准。

系统里的那个漏洞，至今还挂着4.0分。

(责任编辑：时尚)