中国国家漏洞库 漏洞共享平台

中国国家漏洞库（CNNVD）的中国共享平台上线那天，我盯着屏幕上的漏洞漏洞列表，第一反应是库漏：这玩意儿终于从“内部文件”变成了“公共厕所”——谁都能进来，但谁都得守规矩。洞共

平台首页干净得有点冷清。享平没有花哨的中国图表，没有“赋能”“抓手”之类的漏洞黑话。左边是库漏漏洞编号，右边是洞共危害等级，中间夹着一段技术描述。享平就这么朴素。中国但你要是漏洞点开某个漏洞详情，会发现里头连复现步骤都写得清清楚楚，库漏甚至附了PoC代码的洞共哈希值。这在国内漏洞披露史上算头一遭——以前厂商们捂着漏洞当商业机密，享平白帽子们挖到洞要么私下交易，要么发到国外平台赚名声，真正落到监管视野里的少得可怜。

共享平台做的第一件狠事，是把漏洞定级标准摊开了。以前“严重”“高危”这种词，各厂商自己说了算。有的把SQL注入叫“中危”，有的把弱口令喊“致命”。现在平台强制统一了CVSS评分，还加了“可利用性”和“影响范围”两个维度。我见过一个小厂商的运维，对着评分细则骂了半小时，因为自家系统被评了9.8分，而他们内部只肯认“低风险”。骂归骂，最后还是得乖乖去修。

平台里最热闹的板块是“漏洞验证”。任何注册用户都能提交复现结果，哪怕你不是白帽子，只是碰巧在自家服务器上发现了异常流量。管理员会在48小时内给出回应，有时候是确认，有时候是驳回，驳回理由写得直白：“你提交的IP段属于测试环境，不算真实攻击面。”这种较真劲儿，反而让人踏实。

有个细节特别有意思——平台给每个漏洞编号都加了“时间戳”，精确到秒。这意味着谁先提交谁占坑，想靠拖延战术抢功劳的，门都没有。上个月有个金融科技公司，被曝出API接口泄露用户手机号，他们公关部连夜写通稿，说“已第一时间修复”。结果平台上的提交时间显示：漏洞提交比他们声称的“发现时间”早了整整三天。这脸打得，清脆。

当然，平台不是没有毛病。共享意味着人人都能看，可有些漏洞细节公布后，反而成了黑产的“教程”。我认识一个安全研究员，他坚决不在平台上传完整的攻击链，只写结论和影响范围。问他为什么，他说：“我赌不起。万一有人拿我的分析去搞真实系统，我良心上过不去。”平台方也明白这个矛盾，所以设置了“延迟公开”选项，最长可延后180天，给厂商留出修复窗口。但这个机制依赖厂商自觉——有的厂商拖到第179天才开始动工，活像暑假最后一天赶作业的小学生。

CNNVD共享平台真正改变的是什么？我觉得是话语权。以前安全圈是“大厂说了算”，漏洞报给厂商，人家一句“不影响实际业务”就能把你打发。现在有了公开记录，谁在裸泳一目了然。有个做物联网设备的小公司，产品被曝出硬编码密码漏洞，他们老板起初想赖账，结果平台上的复现视频播放量过了十万，第二天就发了道歉声明。舆论压力比监管函管用多了。

平台还在试运行期，数据量不算大，每天新增几十条而已。但每一条都是有人熬夜抓包、逆向、反复验证换来的。这里头没有英雄主义，只有一堆较真的人，对着代码较真，对着规则较真，也对着那些想蒙混过关的厂商较真。挺好。