2017年5月12日，漏洞库英国NHS系统瘫痪，漏洞库手术取消，漏洞库急诊停摆。漏洞库原因不是漏洞库黑客多高明，是漏洞库有人没打一个三月份就发布了的Windows补丁。永恒之蓝利用的漏洞库漏洞编号MS17-010，微软在两个月前修好了它。漏洞库漏洞库里有记录，漏洞库补丁挂在官网，漏洞库但英国有几十万台机器没动。漏洞库WannaCry那波加密勒索，漏洞库本质上是漏洞库一次迟到两个月的补考，结果大面积不及格。漏洞库

漏洞库这个东西，漏洞库说白了就是一本病历本。谁家的软件哪里出过毛病，什么症状，怎么治，全记在上面。CVE编号就是病历号，NVD是美国的版本，CNNVD是中国的版本。你打开NVD搜一个CVE，能看到受影响的产品列表、CVSS评分、参考链接。评分从0到10，7以上算高危。但评分这东西，参考一下就行，别太当真。一个需要物理接触才能利用的9.8分漏洞，实际威胁可能还不如一个远程可触发的6.5分。评分是死的，场景是活的。

我翻过几次CVE Details，那网站做得跟九十年代似的，但数据全。有段时间我专门看微软的漏洞趋势，发现一个有意思的事：每个月补丁星期二发布的修复数量，跟上一个月的漏洞披露数量并不完全对应。有些漏洞修了但没公开，有些公开了但拖了几个月才修。这中间的窗口期，就是攻击者的机会。漏洞库只告诉你“有这个问题”，不告诉你“厂家什么时候修”。这个时间差，才是真正要命的地方。

国内很多公司对漏洞库的态度挺分裂的。安全团队天天盯着CVE更新，业务团队觉得打补丁影响稳定性。两边都有道理，但出事的时候，背锅的往往是安全团队。我见过一个案例，某企业内部系统跑着一个老版本的Struts2，CVE-2017-5638早就公开了，远程命令执行，评分10.0。安全部门发了三次工单，运维说升级要停机，业务说停机要损失，最后拖了半年。半年后被人上传了一个jsp马，数据全泄。事后复盘，所有人都说“早知道就打了”。早知道？漏洞库早就告诉你了。

漏洞库的价值不在于它收录了多少条记录，而在于你有没有把它当回事。CVE现在每年新增两万多个编号，你不可能全修。但你可以做资产映射，把自己用的组件跟漏洞库对一遍，高危的、远程可利用的、有公开EXP的，优先处理。剩下的排期。这不是什么高深技术，就是个体力活加判断力。很多入侵事件追到底，不是什么0day，就是一个三年前就公开了、补丁也出了、但就是没人管的漏洞。

说到底，漏洞库是一面镜子。它照出来的不是软件有多烂，是运维流程有多糙。你去看那些被拖库、被勒索、被挖矿的案例，十有八九能在漏洞库里找到对应的CVE编号，而且发布时间远早于入侵时间。攻击者没做什么惊天动地的事，他们只是比防守方更认真地读了那本病历本。