去年某企业的漏洞内网被攻破，安全团队拿到漏洞报告时傻了眼——三个漏洞，等级两个标着“高危”，漏洞一个标着“中危”。等级修复排期全乱了。漏洞CTO拍桌子问：凭什么这个叫高危，等级那个只算中危？漏洞谁定的？依据在哪？

答案就藏在CVSS里。Common Vulnerability Scoring System，等级通用漏洞评分系统。漏洞它不是等级某个厂商拍脑袋发明的，而是漏洞由FIRST组织维护的一套公开框架。你可以把它理解成漏洞界的等级“地震震级”——不完美，但至少让所有人用同一把尺子说话。漏洞

分数怎么来的等级

CVSS目前主流版本是3.1，今年（2023年）4.0也正式落地了。漏洞拿3.1来说，一个漏洞的最终得分由三组指标拼出来：Base（基础指标）、Temporal（时序指标）、Environmental（环境指标）。

基础指标是核心，回答几个问题：攻击者要动手，是隔着互联网就能打，还是必须坐在你工位上插U盘？需不需要账号密码？打进去之后影响的是数据机密性、完整性，还是直接把系统搞瘫？这些维度各有分值，加权算出一个0到10的分数。

0分没事。0.1到3.9是低危。4.0到6.9中危。7.0到8.9高危。9.0到10.0就是“严重”级别，英文叫Critical。Log4Shell那个漏洞，CVSS 3.1给了10.0满分。为什么？网络可达、无需认证、无需交互、影响范围还跨组件——四项全踩在最严重的格子上。

分数高就一定先修吗

不一定。这是CVSS最容易被误用的地方。

我见过一个团队，拿着扫描器报告，把所有7分以上的漏洞排了个队，从高到低修。结果修到第八个才发现，那个9.8分的漏洞跑在一台已经下线的测试机上。而旁边那个6.5分的，暴露在公网，还连着核心数据库。

CVSS的基础分只描述漏洞本身的技术严重性，它不知道你的资产值多少钱，不知道这个系统有没有WAF挡在前面，不知道攻击者有没有公开的利用代码。所以3.1版本里有时序指标和环境指标——就是让你根据实际情况去调分的。但很多人图省事，只看基础分。

更现实的问题是：CVSS 4.0来了，评分逻辑变了。它引入了“攻击前提”的概念，把“利用条件”和“受影响系统”拆得更细。好处是更精确，坏处是——安全团队又得重新学一遍。我跟几个做漏洞管理的人聊过，他们的态度很一致：4.0更合理，但落地至少还要两三年。因为甲方乙方的报告格式、扫描器支持、内部流程全得跟着改。

别把它当圣旨

CVSS是个沟通工具，不是决策工具。它的价值在于让漏洞披露方、安全厂商、企业运维有一个共同语言。厂商说“这个洞很严重”，你可以问“CVSS多少”，对方说“9.8”，你心里就有数了。

但最终修不修、什么时候修，得看你的资产地图、威胁情报和业务节奏。一个CVSS 5.0的漏洞，如果已经有在野利用，那它比一个9.0但没人会用的洞更急。反过来，一个9.8的洞如果深埋在隔离网段里，修复优先级也可以往后放。

我自己的习惯是：CVSS分数当第一层筛子，把10分和9分以上的先捞出来看；然后叠加上“是否公网暴露”“是否有EXP”“是否影响核心业务”三个维度，重新排。这样排出来的顺序，比单纯看分数靠谱得多。

说到底，CVSS给的是“这个漏洞有多坏”，但“对你有多坏”，得你自己算。

(责任编辑：综合)