去年秋天，中等漏洞某开源社区爆出一个“中等漏洞”。中等漏洞不是中等漏洞那种能让服务器直接宕机的严重级别，也不是中等漏洞无关痛痒的拼写错误。它藏在身份验证模块里，中等漏洞攻击者可以绕过部分权限检查，中等漏洞但需要特定配置加一点运气。中等漏洞CVSS评分6.5。中等漏洞社区讨论了两天，中等漏洞补丁合并，中等漏洞然后一切归于平静。中等漏洞

可我觉得，中等漏洞这种“中等漏洞”才最值得琢磨。中等漏洞

严重漏洞像地震，中等漏洞所有人第一时间冲上去救火。中等漏洞低危漏洞像墙角裂缝，看一眼就忘了。中等漏洞呢？它卡在中间，既不够紧急到让团队停下手头所有事，又不够轻微到可以完全忽略。它考验的不是应急能力，而是判断力——修，还是不修？什么时候修？谁来修？

我见过一个团队的处理方式。漏洞报告进来，负责人扫了一眼，说“先放着，下个迭代再说”。结果那个“下个迭代”拖了三个月。期间有人利用它爬取了部分用户数据，量不大，但足以触发合规审查。事后复盘，没人做错什么——按照流程，它确实没到S级。可问题恰恰出在流程本身：中等漏洞没有明确的优先级归属，它掉进了管理缝隙里。

这让我想起另一个案例。某公司安全团队每周处理上百个漏洞，严重级别的走快速通道，低危的自动归档。中等漏洞被塞进一个队列，按提交时间排序。听起来合理？实际上那个队列常年积压，因为总有更紧急的事插进来。安全工程师私下跟我说：“我们不是不想修，是修不完。每个中等漏洞都要分析、验证、写补丁、测试，工作量不比严重漏洞小多少，但紧迫感差远了。”

所以问题不在于技术难度，而在于注意力分配。人的本能是追逐戏剧性——大火要扑，小火可以等。可中等漏洞就像闷烧，不冒明火，但一直在消耗。

还有个更隐蔽的层面：中等漏洞往往涉及“部分”和“特定”。部分接口、特定配置、某些用户角色。这种限定词让评估变得模糊。严重漏洞通常有清晰的触发路径，中等漏洞的利用条件像拼图，缺一块就没事，凑齐了就出事。你很难说服产品经理为“可能凑齐”的情况推迟发版。

我自己的经验是，处理中等漏洞最有效的办法不是提高优先级，而是缩短决策链。别让它进队列，直接指派给一个人，给48小时判断：要么升级为严重，要么降级为低危，要么立即修。最怕的就是“先放着”——放着放着就忘了。

补丁合并那天，那个开源社区的邮件列表里有人回了一句“终于”。就一个词。没人庆祝，没人写长篇分析。可我知道，那个“终于”背后是某个维护者熬了两个晚上，在几十个调用点里找到了那个微妙的绕过路径。中等漏洞不会上新闻，但修好它的人值得一句谢谢。

下次你看到CVSS 6.5，别急着划走。它可能比9.8更考验你的团队。

(责任编辑：百科)