企业需要摆脱依赖供应商赋予的理论评分，转而依据与自身环境相关的真实漏洞利用数据开展风险评估。

企业正面临一项几乎不可能完成的任务：在数百套系统中追踪数百万个漏洞。漏洞管理确实需要革新，但这并不意味着要放弃优先级排序和数据驱动的方法。企业必须聚焦真正影响自身环境的漏洞，因为如今的漏洞数量已经多到无法逐一处理。

9 月的“补丁星期二”发布更新后，一家企业的系统因无法承受新增漏洞实例的数量而崩溃。Empirical Security 创始人 Jay Jacobs 透露，尽管新增漏洞数量看似可控，不到 1000 个 CVE，但它们分布在数千万个存在漏洞的资产上。

这并非个例。“补丁星期二”不断刷新漏洞数量纪录，其中还包括被认定为紧急级别的修复项目。此外，自动化工具和人工智能（AI）正在发现更多漏洞，并引发一连串告警。随着安全团队争相处理大量告警，整个行业都面临着日益严峻的挑战。

“漏洞能够被利用，并不意味着它一定会被利用”

随着漏洞数量激增，企业追踪、识别和修复漏洞的方式也发生了显著变化。将最严重的漏洞列为优先处理对象已成为关键，但企业还需要更有效的方法，进一步缩小真正需要关注的漏洞范围。

2021 年，美国网络安全和基础设施安全局（CISA）开始定期发布已知遭利用漏洞目录（KEV），帮助企业根据实时威胁活动确定补丁优先级。尽管漏洞数量大幅增加，企业仍持续依赖该目录，专家也一致认为，它依然具有重要价值。类似地，VulnCheck 于 2024 年推出了自己的 KEV 目录，原因同样在于漏洞优先级管理面临挑战。

如今，漏洞积压和修复压力不断加大。然而，许多专家认为，漏洞数量增长所带来的工作量，并没有外界所描述的那么大。漏洞被披露，并不意味着攻击者一定会利用它。

Root Evidence 首席执行官 Jeremiah Grossman 解释说，攻击者会瞄准防御最薄弱的资产，尤其是企业甚至不知道自己拥有的资产。Root Evidence 发现，只有 1.4% 的 CVE 会遭到利用。企业还可以进一步筛选，确定其中哪些漏洞影响自身环境。经过这一筛选，剩余漏洞的数量会大幅减少，大多数企业都有能力处理。

Grossman 告诉 Dark Reading，潜在漏洞的数量持续增长，但攻击者实际利用的漏洞数量基本持平，因此漏洞利用率正在下降。

他说：“企业应关注攻击者实际在做什么，而不是猜测他们可能会做什么。”

AI 增加了漏洞数量，却未必增加风险

AI 正在加剧人们对漏洞管理的担忧，但安全团队的注意力本就有限，企业无法承受被这一问题进一步拖累，而且也没有必要如此。Root Evidence 尚未发现能够证明 AI 会显著推高漏洞影响和数量的数据。

Grossman 提出了一种假设：“假设 AI 能够发现所有漏洞、参与每一次漏洞利用，并推动每一场攻击活动。就算这些都发生了，但数据泄露事件的数量和影响仍然保持不变，那么 AI 带来的这些变化究竟有什么实质意义？”

Empirical Security 首席执行官 Ed Bellis 解释说，即使 AI 增加了漏洞数量，现有数据和证据也足以证明，企业无需修复所有已知漏洞。对于负责漏洞修复的人员而言，告警可能会更多，但他们仍然可以找到有效的方法进行筛选。

Bellis 告诉 Dark Reading：“很多团队仍在手动处理，这正是他们苦不堪言的原因。”企业看到一份漏洞公告，发现某个漏洞的通用漏洞评分系统（CVSS）评分高达 10 分、被评为严重级别，就可能立即将其列为最高优先级。

很多时候，企业只是在猜测哪些漏洞需要修复，却没有先确认这些漏洞是否存在于自身环境中，以及威胁是否迫在眉睫。Grossman 建议，补丁管理计划应减少对 CVSS 评分的依赖，更多地关注攻击者实际瞄准的目标。

Grossman 表示：“某个软件中的漏洞即使获得 CVSS 10 分，但如果没有人运行这款软件，攻击者也不会花时间去利用它。”

Jacobs 解释说，供应商希望客户优先修复其披露的漏洞，而不是其他漏洞，因此可能有动力提高这些漏洞的评分。另一方面，供应商也有动机压低评分，因为它们不希望被贴上存在数百万个高危或严重漏洞的标签。

他指出，这两种相互矛盾的动机可能导致评分标准不一致。

Grossman 补充道：“取决于你与公司内部的谁交谈，他们自己对漏洞评分的优先级也可能各不相同。”

Jacobs 解释说，CVSS 及其他类似指标存在“过度评级”的问题，导致大量漏洞被评为高危或严重级别。安全团队已经被大量要求优先处理的漏洞压得不堪重负。

Bellis 表示：“无论从哪个角度来看，这个问题都很复杂，尤其是在缺乏数据支撑、却引入大量专家主观意见的情况下。”

自动化有助于缓解压力

Bellis 补充说，一些供应商确实让客户更容易修复其产品中的漏洞。他表示，有些漏洞只需一分钟就能修复，而另一些可能需要长达六个月。他举例称，谷歌 Chrome 可以自动更新；微软产品的漏洞修复可能无法通过简单点击完成，但相比需要进行完整回归测试的 Oracle 或 Java 漏洞，处理起来仍然容易一些。

Bellis 建议：“选择你最适合的补丁管理工具。能够自动修复漏洞，会带来很大帮助，但仍有大量漏洞无法通过这种方式解决。”

Contrast Security 首席安全官 David Lindner 也分享了类似的经历。他经常听到客户表示，他们使用平台扫描应用程序，发现一个 CVSS 评分为 9.8 的严重漏洞后，就依据漏洞管理计划的规定要求立即修复。但 Lindner 补充说，由于现有控制措施已经阻止了该漏洞被利用，攻击者往往根本无法触及它。

Lindner 告诉 Dark Reading：“这同样属于风险缓解措施，与直接修复漏洞具有相同的意义。”

因此，他认为，整个行业正在从漏洞管理转向风险管理。许多与他交流过的首席信息安全官（CISO）表示，其组织环境中至少存在 100 万个漏洞。

许多企业没有足够的时间或资源，通过主观风险评级深入分析漏洞究竟会对自身产生多大影响。Lindner 解释说，这导致企业陷入一种循环：制作漏洞修复进度图表，发现并修复漏洞，然后向董事会汇报。他补充说，这种做法背后的思维是：“只要能够满足合规和监管要求，就算足够了。”

Lindner 建议，企业应根据自身环境调整漏洞管理计划，确定哪些工具（包括 AI 赋能的工具）、哪些 KEV 目录或哪些漏洞利用预测评分系统最适合自身环境。对于规模和行业不同的组织，通用评分标准并不能产生相同的适用效果。

他补充道：“这需要结合具体情况判断。我们不能把某套评分系统当作漏洞评估的绝对标准，不管它给出什么分数，都照单全收。真正需要考虑的是：它对我有什么实际影响？”