CVSS不是漏洞用来给你家路由器打分玩的。它是定级一套被NVD、厂商和漏洞平台广泛采用的漏洞量化框架，全称Common Vulnerability Scoring System。定级第一版2004年出来，漏洞现在主流是定级3.1和4.0。很多人以为分数越高越危险，漏洞这话对，定级但不全对——CVSS 9.8的漏洞漏洞如果在一个内网隔离的测试机上，实际风险可能还不如一个7.5分的定级公网服务漏洞。

先看3.1的漏洞评分逻辑。它把指标分成三组：基础组、定级临时组、漏洞环境组。定级基础组又拆成利用难度和影响范围。漏洞利用难度里，攻击向量AV最关键——网络可远程利用直接给0.85权重，物理接触只有0.2。攻击复杂度AC分高和低，高复杂度意味着需要特定条件，比如竞态窗口。权限要求PR从无到高，用户交互UI从无到需要。影响范围分机密性、完整性、可用性三个CIA维度，每个都有高、低、无三档。

举个真实例子。2021年的Log4Shell，CVE-2021-44228，CVSS 3.1基础分10.0。AV是网络，AC低，PR无，UI无，CIA全高，范围改变。这个满分不是随便给的——攻击者发一个JNDI字符串就能远程执行代码，不需要认证，不需要用户点任何东西，影响还溢出到其他组件。但10.0不代表所有场景都致命。如果目标服务只在内网DNS白名单里解析，攻击向量实际受限，环境组能把分数拉到7分左右。

环境组是CVSS最被低估的部分。安全团队经常只看基础分，然后按分数排队修漏洞。这很蠢。基础分是通用标尺，环境组才是你的实际暴露面。比如一个需要本地管理员权限的提权漏洞，基础分可能7.8，但你的终端管控策略禁止普通用户装软件，那这个漏洞的实际优先级可以往后放。反过来，一个基础分6.5的反射型XSS，如果挂在面向客户的登录页上，环境分能飙到8以上。

CVSS 4.0在2023年正式启用，改动不小。它引入了“攻击需求”AT和“用户交互”UI的细分，还加了“后续系统影响”这个维度。最直观的变化是评分不再只看单次攻击的后果，而是考虑攻击链。比如一个漏洞本身只能读文件，但结合另一个漏洞能写配置，4.0会通过“后续系统影响”把分数往上提。3.1做不到这点，它只看当前漏洞的直接效果。

厂商和漏洞平台对CVSS的使用经常走样。微软的月度补丁里，有些漏洞标CVSS 7.8但实际利用需要先拿到域内凭据。Red Hat会给同一个CVE打不同的分，因为RHEL的默认配置可能关闭了受影响模块。NVD的评分有时和厂商不一致，NVD偏向理论最大值，厂商偏向默认配置下的实际值。你该信谁？看你的部署环境。如果你用的是RHEL默认配置，Red Hat的分更准；如果你自己编译开了所有特性，NVD的分更接近。

CVSS不是风险的全部。它不衡量漏洞是否已被利用、不衡量利用工具是否公开、不衡量你的资产价值。EPSS（Exploit Prediction Scoring System）可以补上“被利用概率”这块，CISA的KEV目录告诉你哪些正在被野利用。把CVSS、EPSS和资产重要性三个维度一起看，比只盯一个分数靠谱得多。一个CVSS 9.8但EPSS 0.01%的漏洞，和一个CVSS 7.5但EPSS 90%的漏洞，后者应该先修。

最后说个实操建议。别把CVSS当圣旨。基础分过一遍筛，环境分决定优先级，EPSS和KEV决定紧急程度。漏洞管理平台里设个规则：基础分≥9.0且EPSS≥10%的自动开P1工单；基础分≥7.0但EPSS<1%的进季度修复队列。这样比按分数一刀切少干很多无用功。