凌晨两点十七分，漏洞回函我的漏洞回函手机屏幕亮了。不是漏洞回函闹钟，是漏洞回函安全团队群发的邮件——标题栏赫然写着“漏洞回函：关于CVE-2024-XXXX的处置说明”。我盯着那串编号，漏洞回函想起三天前提交漏洞报告时，漏洞回函对方回复的漏洞回函自动邮件里连个标点符号都没多给。

这封回函只有三行字：“已确认漏洞存在。漏洞回函影响范围有限。漏洞回函修复时间待定。漏洞回函”落款是漏洞回函某大型软件厂商的安全响应中心。我盯着“影响范围有限”这六个字看了足足五分钟。漏洞回函他们知道吗？漏洞回函这个被我挖出来的越权漏洞，能让任何普通用户调取企业后台的漏洞回函客户订单数据。我测试的漏洞回函时候，随手输入一个ID，就看到了某个陌生人的手机号、家庭住址、最近三个月的购物记录。

把回函截图发到技术群里，老张秒回：“正常操作，他们对外永远说影响有限。”老张在甲方干了八年安全运维，见过太多类似措辞。他说去年他们公司报了个任意文件上传漏洞，厂商回函也是这套话术，结果三个月后漏洞被利用，拖库了四十万条用户信息，新闻都上了热搜。厂商这才发了第二封回函，语气诚恳得像是换了个人写：“对给您带来的不便深表歉意。”

我不反对厂商谨慎评估漏洞影响——毕竟有些漏洞确实只在特定环境下才能触发。但“影响范围有限”这种话，从安全研究员的角度看，更像是一种谈判策略。漏洞在厂商手里，修复优先级是他们定的。说影响有限，意味着可以慢慢排期，意味着不用启动紧急更新流程，意味着那个躺在数据库里的漏洞可能还要存活好几个版本。

我翻出上个月提交的另一个漏洞回函，那家开源软件社区的回信风格完全不同。维护者直接回复：“感谢报告，已复现，将在下个版本修复。”没有模糊措辞，没有责任推卸，甚至主动问我是否愿意在致谢名单里署名。对比之下，商业厂商的模板化回函总让人觉得自己是个麻烦的告状者，而不是帮他们堵住安全缺口的人。

后来那个“影响范围有限”的漏洞，我私下验证了更多场景——通过几个参数组合，能直接读取服务器上的配置文件。我把新的证据链打包发过去，这次回函快了很多，措辞也变了：“已确认高危风险，正在紧急修复中。”你看，漏洞还是那个漏洞，代码还是那几行代码，变的只是回函里的形容词。

现在我的邮箱里还躺着几十封类似的回函。有些厂商会附上补丁发布时间表，有些干脆已读不回。我慢慢习惯了这种不对等的沟通——安全研究员的发现，在厂商那里往往只是一张需要排期的工单。但每次深夜收到那种轻描淡写的回函，我还是会忍不住多写几行测试代码，把漏洞边界再推远一点。不是较劲，只是想看看，那句“影响范围有限”到底能撑多久。