国家安全漏洞共享平台

2024年3月，国家共享某国产数据库的安全一个未授权访问漏洞被白帽黑客提交到国家安全漏洞共享平台（CNVD）。从提交到厂商确认，漏洞不到48小时。平台这个速度放在五年前几乎不可想象——那时候一个高危漏洞从发现到修复，国家共享拖上几个月是安全常态。

CNVD的漏洞全称是国家信息安全漏洞共享平台，2009年由工信部指导、平台国家互联网应急中心（CNCERT）运营。国家共享说白了，安全它就是漏洞中国网络安全领域的一个"漏洞集散中心"。白帽黑客、平台安全厂商、国家共享研究机构发现漏洞后提交到这里，安全平台核实、漏洞定级，再通知相关厂商修补。听起来流程简单，但真正让它运转起来的，是一套多方博弈的机制。

谁在往里面交漏洞

提交漏洞的人分几类。安全公司的研究员占大头，他们本职工作就是挖洞，交到CNVD既能积累行业声誉，也能拿到平台的积分和证书。高校安全团队是另一支主力，很多CTF战队打完比赛顺手就把实战中发现的漏洞交上去。还有一部分是独立白帽，纯粹靠兴趣驱动。

但别以为大家都是活雷锋。漏洞这东西有黑市价格，一个能远程执行代码的高危漏洞，在地下市场能卖到几万甚至几十万美元。CNVD能吸引人提交，靠的是厂商响应速度和合规保护——《网络安全法》实施后，通过CNVD提交漏洞的行为有了法律依据，不用担心被厂商反手告一个"非法侵入"。

平台到底怎么处理漏洞

收到漏洞后，CNVD会做三件事：验证、定级、协调。

验证环节最考验技术能力。提交者给的信息未必完整，平台的技术人员需要复现漏洞，确认它真实存在且可利用。定级则参考CVSS评分体系，结合漏洞的影响范围——是影响一个插件还是影响操作系统内核，差别巨大。

协调是最磨人的一步。厂商的态度千差万别。大厂通常有专门的安全响应团队（PSIRT），对接顺畅；中小厂商可能连安全部门都没有，通知过去石沉大海。我了解到的一个案例是，某物联网设备厂商的固件漏洞被提交后，CNVD多次联系未果，最后只能通过行业主管部门推动才得以修复。整个过程花了将近四个月。

数字背后的真实图景

CNVD每年收录的漏洞数量在持续增长。2023年收录的漏洞总数超过两万个，高危漏洞占比大约在三成左右。这些数字看着吓人，但换个角度想——能被收录至少说明有人发现了、有人在处理。真正危险的是那些还没被发现的，或者发现了却没人管的。

一个值得关注的趋势是，工控系统和物联网设备的漏洞占比在上升。这类设备的特点是量大、分布广、更新困难。一台部署在偏远变电站的工控设备，你很难指望它像手机App一样推送个更新就完事。修复成本高，厂商动力不足，这是现实困境。

它不完美，但缺不了

CNVD的局限性也很明显。漏洞披露的透明度一直有争议——有些漏洞修复后不公开细节，外界不知道到底发生了什么。平台与厂商之间的权责边界也时有摩擦，厂商嫌平台催得急，提交者嫌平台反馈慢。

不过回到最初那个案例，48小时完成确认，这背后是十几年积累下来的流程和信任关系。漏洞不会消失，攻击者的速度也不会放慢。有一个能把发现者、厂商、监管方拉到同一张桌子上的机制，总比各干各的强。