CISA停更漏洞周报背后：漏洞管理从“看CVSS分数”转向“看真实风险”，一线团队如何落地？

一个值得关注的变化

2026年9月，美国网络安全和基础设施安全局（CISA）宣布停止发布运行多年的每周漏洞公告。这份公告曾经是安全团队的重要情报来源，每周汇总数千个新漏洞，包括CVE编号、CVSS评分、影响范围等详细信息。

很多人可能觉得这只是停了一份报告，没什么大不了。但实际上，这背后反映的是整个行业在漏洞管理思路上的重大转变——不再只看漏洞有多严重，而是更关注它在真实世界里到底有多危险。

这个转变对中国企业特别有参考价值。现在大部分企业都面临同样的困境：每天漏洞告警一大堆，安全团队忙得团团转，但总感觉修不完，也不知道该先修哪个。CISA这次调整的思路，正好可以帮我们理清这个问题。

中国企业的真实困境

漏洞多到处理不过来

先说说现状。根据国家漏洞库的数据，这几年每年新增的漏洞都是几万个起步。一家中大型企业，系统里同时存在几千上万个漏洞是常态。

问题是，企业的安全资源根本跟不上。团队就那么几个人，补丁窗口受业务限制，系统变更还得走流程。想把所有漏洞都修完？根本不现实。

只看CVSS评分的问题

现在大部分企业怎么做的？基本就是看CVSS评分：

• 9分以上的严重漏洞马上修

• 7-8.9分的高危漏洞一周内修

• 4-6.9分的中危漏洞一个月内修

• 4分以下的看情况

这套逻辑看起来很合理，但实际用起来问题很大。

举个例子：某企业按照评分，优先修了一个9.8分的高危漏洞，协调了好几个部门，系统停机维护，折腾了一圈。结果这个漏洞从来没被黑客用过，系统也不在公网上。

同时，另一个7.5分的漏洞，已经被勒索软件团伙大规模利用了，企业好几台公网服务器都有这个问题，却因为"分数不够高"排在后面。

这就是典型的资源错配。CVSS评分告诉你的是"这个漏洞理论上能造成多大伤害"，但它回答不了"这个漏洞现在对我的企业到底有多危险"。

告警疲劳越来越严重

很多企业已经上了漏洞扫描器、资产管理平台、安全运营中心，但这些系统往往各干各的，缺乏联动。扫描器每周吐出几千条告警，但没法告诉安全团队：

• 哪些漏洞已经被黑客实际利用了？

• 哪些漏洞影响的是关键业务系统？

• 哪些漏洞在直接暴露在互联网上的服务器里？

• 哪些漏洞可能被用来发起APT攻击？

没有这些关键信息，安全团队就像盲人摸象，面对永远处理不完的漏洞清单，慢慢就疲劳了。

CISA为什么要做这个调整

漏洞列表越来越没用

CISA以前的每周漏洞公告内容其实很全，每周汇总几千个新漏洞，按产品分类，标注严重程度，能提供补丁的就附上补丁信息。

但问题是：它只能告诉你"发生了什么"，没法告诉你"该先做什么"。一份报告里几千条漏洞信息，即使都标了评分，安全团队还是不知道该从哪下手。

CISA自己也承认，这种"信息轰炸"可能加剧告警疲劳，反而降低了实际价值。在漏洞管理这件事上，信息的价值不在于多，而在于能不能帮团队做决策。

政策层面的转向

CISA停更漏洞公告不是拍脑袋的决定，它其实是今年6月发布的一个指令（BOD 26-04）的延续。这个指令要求美国联邦机构改变漏洞管理方式：优先修复已知被利用的漏洞 - 把CISA维护的KEV目录（已知被利用漏洞清单）作为最高优先级。

关注真实风险因素 - 不只看评分，还要看漏洞有没有被实际利用、系统有没有暴露在公网上这些现实因素。

不能只看严重程度 - 传统的"按CVSS排序"已经不够用了。

这是从"理论风险评估"转向"实战威胁应对"，停更漏洞公告只是这个转向的一个具体体现。

KEV目录：少而精的价值

要理解CISA的思路，就得了解KEV目录。这是CISA从2021年开始维护的一个特殊漏洞清单，只收录一种漏洞：有确凿证据表明已经被黑客在真实攻击中使用过的。

传统漏洞库的思路是"尽可能收录所有漏洞"，KEV的思路是"只关注已经被实际利用的漏洞"。

从防守角度看，这种"做减法"的思路反而更有用。假设你有1000个待修漏洞，其中10个已被确认在野利用，那这10个显然该最先修——不管它们的CVSS评分是多少。

事实证明，KEV目录推出后很快就成了安全团队做优先级判断的核心参考。因为它提供的不是"可能的威胁"，而是"正在发生的威胁"。

中国企业可以怎么做

基于CISA这次调整的思路，结合国内企业的实际情况，这里给出几个可落地的建议。

建议一：别丢掉CVSS，但也别只看CVSS

首先要明确，CISA不是说CVSS没用了，而是说不能只看这一个指标。

建议做法：建立多维度评估框架

至少要考虑三个维度：

技术严重程度（CVSS评分）- 这个漏洞理论上能造成多大伤害？利用难度如何？

真实利用情况（威胁情报）- 有没有公开的攻击代码？是不是已经被黑客用了？哪些团伙在用？

资产暴露程度（攻击面管理）- 有问题的系统在不在公网上？是不是核心业务？里面有没有敏感数据？

这样一来，一个9.0分的漏洞，如果没被实际利用、只在内网隔离系统里，它的综合风险可能还不如一个7.5分、但已经被勒索软件利用、还在公网服务器上的漏洞。

实施tip： 可以参考NIST的SSVC框架，或者根据自己企业的情况定制一套评估模型。关键是打破"CVSS评分=风险等级"的固有思维。

建议二：建立"已知被利用漏洞"快速通道

学习CISA的KEV目录，企业应该把"已经被实际利用的漏洞"单独拎出来，建立快速响应机制。

建议做法：整合情报源 - 对接多个情报来源

• CISA的KEV目录

• 国家漏洞库CNVD的威胁预警

• 安全厂商的威胁情报

• 开源情报和暗网监测

自动化标记 - 在漏洞管理系统里加个"已知利用"标签，一旦确认某个漏洞有真实利用证据，自动提升优先级。

开绿色通道 - 这类漏洞可以走应急流程，跳过常规的变更审批，在保证业务的前提下快速修复。

真实案例： 2023年底MOVEit Transfer漏洞被勒索软件大规模利用时，有这套机制的企业能在24小时内完成排查和响应，走常规流程的企业往往要花一周甚至更久。

建议三：把漏洞管理和攻击面管理结合起来

BOD 26-04特别强调系统的"暴露程度"。对企业来说，就是漏洞管理不能脱离资产情况单独看。

建议做法：给资产分级 - 按暴露程度分类

• 互联网直接暴露的（公网IP、云服务等）

• 通过VPN能访问到的

• 内网的但可能被供应链攻击的

• 完全物理隔离的

建立漏洞-资产映射 - 每个漏洞告警都要能对应到具体资产，自动带上这个资产的暴露等级、业务重要性这些属性。

动态计算风险 - 同一个漏洞在不同资产上的风险应该不一样。简单说就是：漏洞风险 = 综合评估(CVSS评分 + 利用证据 + 资产暴露度 + 业务重要性)

技术实现： 可以用外部攻击面管理工具，自动发现哪些资产暴露在公网上，然后和内部漏洞管理平台打通数据。

实际效果： 有家金融企业用了这套方法后发现，原本标为"中危"的一个Web漏洞，实际在处理客户交易的核心系统上，还暴露在公网。重新评级后48小时内就修了，避免了数据泄露风险。

建议四：SOC要从"信息收集"转向"情报分析"

CISA停更周报的深层逻辑是：安全团队需要的不是更多信息，而是更有用的情报。

建议做法：质量优先于数量 - 别再无差别推送漏洞信息了，要做分析和排序。

每周推送的内容应该包括：

• 本周新增的已知被利用漏洞

• 影响我们技术栈的高风险漏洞

• 和当前威胁活动相关的漏洞（比如某个APT组织正在用的）

设置情报分析岗位 - 别让一线工程师直接面对原始数据流，应该有专人负责把外部信息转化成具体行动建议。

输出可执行的情报 - 情报产品要能直接指导行动：

• "建议72小时内修复以下10个系统"

• "以下5个漏洞虽然高危但暂无利用证据，可以放到下月补丁窗口"

• "某APT组织在用XX漏洞，建议立即启动威胁狩猎"

调整考核指标 - SOC的KPI应该从"处理了多少漏洞"转向"高风险漏洞处置及时性""响应准确率"这些质量指标。

实际效果： 有家制造企业转型后，SOC每周要处理的告警从2000多条降到200多条，但这200条都是经过分析和排序的，处置效率提升了3倍，关键漏洞修复时间从15天缩短到3天。

核心要点总结

CISA停更漏洞公告，表面是停了一份报告，实质是整个行业在转向"风险导向"的漏洞管理。

对中国企业来说，现在面临的挑战是：

• 数字化转型加速，IT资产越来越复杂

• 攻击面快速扩大，云、移动办公、物联网都是新风险点

• 威胁环境严峻，勒索软件、APT攻击、供应链攻击频发

• 安全资源有限，人员、预算、时间窗口都紧张

在这种情况下，"修复所有漏洞"既不现实也没必要。真正重要的是回答三个问题：

1) 攻击者在用什么？ - 聚焦已知被利用的漏洞

2) 这些威胁在不在我们环境里？ - 建立精准的漏洞-资产映射

3) 哪些资产最可能被攻击？ - 结合暴露度和业务重要性评估

当企业能持续准确地回答这三个问题时，就完成了从"被动应对漏洞洪流"到"主动管理真实风险"的转变。

最后一句话： 漏洞管理的本质不是和漏洞数量赛跑，而是在有限资源下，精准识别并优先处理那些真正威胁企业的风险点。从"看分数"到"看风险"，看似只是多了几个评估维度，实际上是安全运营成熟度的质的飞跃。

面对日益复杂的威胁，中国企业需要尽快完成这个转型。不是因为CISA停了什么报告，而是因为现代网络安全的本质规律决定：只有基于真实风险的精准防护，才能在攻防对抗中占据主动。

合作电话：18610811242

合作微信：aqniu001

联系邮箱：bd@aqniu.com