2023年8月，信息一个编号为CNVD-2023-63643的安全漏洞被公开。影响范围：某国产OA系统，漏洞几乎覆盖全国三千多家单位。平台攻击者利用它，信息不需要任何账号密码，安全就能直接拿到服务器最高权限。漏洞这个漏洞从上报到平台确认，平台不到48小时。信息处理速度，安全比很多商业漏洞平台还快。漏洞

这就是平台国家信息安全漏洞共享平台（CNVD）的日常。它不像某些商业平台那样天天上新闻，信息但国内关键信息基础设施的安全漏洞防线，很大一部分靠它在撑。漏洞

它到底在做什么

CNVD由中国互联网络应急技术处理协调中心（CNCERT）运营，2009年上线。核心任务就三件事：收集漏洞、验证漏洞、把漏洞信息推给该知道的人。

听起来简单，做起来是另一回事。每天有大量漏洞报告涌进来——安全研究员提交的、厂商主动报的、白帽子挖出来的，还有些是从国外漏洞库同步过来的。CNVD的团队要做去重、复现、定级，然后决定哪些漏洞需要立刻发预警，哪些走内部通报流程。

有个细节值得说。CNVD给漏洞定级不是只看CVSS评分。一个CVSS 7.5的漏洞，如果影响的是电力调度系统，它的实际处置优先级会远高于一个CVSS 9.0但只影响某小众论坛程序的漏洞。这种判断逻辑，跟商业漏洞平台完全不同。

它和商业平台的区别在哪

国外有CVE，国内有CNVD和CNNVD。CVE是MITRE维护的，更像一个编号分配机构，不负责漏洞验证和厂商协调。CNVD不一样，它会主动联系厂商，催补丁，有时候还得“逼”厂商承认漏洞存在。

我见过一个案例。某款广泛使用的国产数据库中间件存在反序列化漏洞，CNVD先通报给了厂商。厂商第一反应是否认，说“设计如此”。CNVD直接把复现环境和利用链摆出来，厂商才改口。从否认到发补丁，拖了将近三周。这三周里，CNVD没有公开漏洞细节，但给关键行业用户发了内部预警。这种“有限披露”的节奏拿捏，是商业平台很少做的。

谁在用它

普通用户几乎感觉不到CNVD的存在。它的主要用户是：部委信息中心、运营商、银行、能源企业的安全团队，以及安全厂商的漏洞库团队。

一个省级运营商的安服人员告诉我，他们每天第一件事就是刷CNVD的预警邮件。“商业漏洞库更新也快，但CNVD的预警往往带着处置建议，有时候还附上临时缓解措施。这个对我们一线运维来说，比一个冷冰冰的CVE编号有用得多。”

问题也不是没有

CNVD的公开漏洞库更新频率不算高。有些漏洞在CNVD上还是“待审核”状态，商业平台已经公开了。这跟它的审核流程严谨有关，但也导致部分安全研究员更愿意把成果首发在商业平台或直接发GitHub。

另一个现实是，CNVD的漏洞提交接口和反馈机制，对新手不够友好。我试过提交一个漏洞，填完表单后等了十几天才收到确认邮件。商业平台通常几小时就有响应。这种体验差距，会影响白帽子的提交意愿。

不过话说回来，CNVD的定位本来就不是跟商业平台拼速度。它要的是准确、可控、对关键基础设施负责。一个漏洞信息如果提前泄露，可能被攻击者利用；如果压得太久，又对不起用户。这个平衡点，CNVD一直在找。

最后说一个数字

截至2024年初，CNVD收录的漏洞总数超过20万条。其中高危漏洞占比接近三成。这些数字背后，是大量安全研究员的提交、CNVD团队的验证，以及厂商或主动或被动的修复。

这个平台不完美，响应速度、用户体验都有提升空间。但在国内关键信息基础设施的漏洞治理链条里，它目前没有替代品。你可以不用它，但你用的很多系统，已经被它保护过了。