国家软件漏洞中心

2023年8月，软件一个境外黑客组织试图利用某国产办公软件的漏洞高危漏洞发起供应链攻击。攻击链在最后一环断了——不是中心被安全厂商的防火墙拦住的，而是软件被一个叫“国家软件漏洞中心”的机构提前截获了。这个机构的漏洞工程师在漏洞公开前72小时拿到了样本，连夜复现、中心定位、软件推送给厂商。漏洞补丁在攻击大规模铺开前就推到了用户端。中心

很多人第一次听说“国家软件漏洞中心”这个名字，软件是漏洞因为2021年Log4j2漏洞爆发。当时全球安全团队都在抢时间，中心这个中心是软件最早发布中文分析报告和检测工具的机构之一。他们的漏洞报告没有翻译腔，直接告诉国内开发者：你的中心Java应用只要用了某个版本的日志组件，攻击者就能远程执行代码。附带的检测脚本当天就在GitHub上被fork了上千次。

这个中心不叫“实验室”也不叫“研究院”，叫“中心”，挺有意思。它的定位不是纯研究，而是协调。漏洞从发现到修复，中间隔着厂商、用户、监管方、安全公司，各方利益和节奏都不一样。厂商怕影响品牌，用户嫌打补丁麻烦，安全公司想抢首发。漏洞中心干的事，说白了就是把这些角色摁在一张桌子上，让漏洞别变成炸弹。

我翻过他们近三年的公开报告，有个细节很说明问题。2022年某国产数据库的提权漏洞，中心在报告中特意加了一段：“该漏洞利用需要攻击者已具备数据库普通账户权限，实际风险等级建议结合业务场景评估。”这句话看着普通，其实是在给厂商和用户降温。当时有自媒体把漏洞炒成“核弹级”，中心没跟着起哄，而是把利用条件写清楚。这种克制在安全圈不多见。

他们的漏洞库和NVD（美国国家漏洞数据库）有个明显区别：NVD只收CVE编号的漏洞，而中心会收录大量没有CVE编号的国产软件漏洞。很多国内中小软件厂商根本没有申请CVE的意识，出了漏洞自己悄悄修，用户根本不知道。中心把这些漏洞挖出来、编号、公开，倒逼厂商走正规流程。有个做OA系统的厂商被中心连续通报三次，第四次终于建立了自己的安全响应团队。

不过问题也有。我接触过几个安全研究员，他们抱怨中心的漏洞提交平台流程偏慢，从提交到确认有时要等两周。对比之下，一些商业漏洞平台48小时就给反馈。中心的人手显然不够，2023年公开的漏洞报告数量比2021年翻了一倍，但团队规模没怎么变。有次我在一个安全会议上碰到中心的一位工程师，他手机响个不停，全是厂商催漏洞详情的电话。他说最忙的时候一天只睡四个小时。

另一个观察是，中心对漏洞的“可利用性”判断有时候偏保守。某次一个Web框架的漏洞，中心评级是“中危”，但后来野外利用样本出来，实际危害远超预期。安全圈有人吐槽他们“太学院派”。但反过来想，如果每次都往高了评，厂商和用户会疲劳，最后所有漏洞都变成“狼来了”。这个平衡点很难找。

去年中心上线了一个漏洞预警订阅服务，微信小程序就能收推送。我订了，发现他们推送的漏洞确实比商业平台少，但每条都是经过筛选的——要么影响面大，要么利用门槛低。有次半夜推了一条某路由器固件的命令注入漏洞，第二天早上就看到厂商发了补丁。这种节奏感，比一天推五十条“可能受影响”的警报有用得多。

说到底，漏洞中心的价值不在于它发现了多少漏洞，而在于它让多少漏洞在造成实际损失前被堵上。这个数字没法精确统计，但每一次攻击被提前拦截，背后都有他们的影子。安全这行，干得好的时候往往没人注意到你。哪天他们不出声了，可能才是真正该担心的时候。