内容摘要：单个主机低危漏洞，安全团队通常容忍的数量是零。别笑，这不是洁癖，是现实。 我见过太多运维把“低危”当免死金牌。去年某电商平台做渗透测试，扫出十七个低危项，负责人摆摆手说都是小问题，结果其中两个低危——

单个主机低危漏洞，单个低危安全团队通常容忍的主机数量是零。别笑，漏洞这不是不超洁癖，是单个低危现实。

我见过太多运维把“低危”当免死金牌。主机去年某电商平台做渗透测试，漏洞扫出十七个低危项，不超负责人摆摆手说都是单个低危小问题，结果其中两个低危——一个目录列表泄露、主机一个版本号暴露——被攻击者串起来，漏洞配合一个钓鱼邮件直接拿下了后台账号。不超低危从来不单独致命，单个低危但它们是主机最便宜的垫脚石。攻击者拿你的漏洞低危漏洞练手，就像小偷先踩点摸清哪扇窗没锁。

说回“不超过几个”这个数字。业内确实有不成文的规矩，比如等保测评要求单个主机低危不超过三个，超过就得整改。但那是及格线，不是安全线。你真按三个去留，等于告诉审计人员“我只要不挂科就行”。更麻烦的是，低危漏洞的定义本身就模糊。同一个Tomcat版本信息泄露，在公网边界算低危，在内网核心数据库服务器上就是中危甚至高危——因为攻击路径变短了，爆炸半径变大了。

我处理过一个真实案例。某金融机构内部系统，扫描报告显示两个低危：一个SSH弱加密算法，一个Web管理后台未做访问频率限制。客户觉得无所谓，说这俩又不直接进数据层。结果三个月后，攻击者用SSH弱加密算法降级攻击，配合撞库进来的弱口令，在内网横向移动了六台机器。事后复盘，那两个“低危”就是最初的突破口。你说它们是低危，可攻击者觉得它们比防火墙上的高危还香。

所以我的判断很直接：单个主机低危漏洞，超过两个就该拉警报。为什么是两个不是三个？因为一个可能是漏网之鱼，两个说明你的基线检查流程有系统性问题——要么扫描策略没更新，要么修复流程有漏洞。连续出现两个低危，大概率还有第三个没被扫出来，只是藏得深。

当然，有些低危可以接受短时间存在，比如某个临时调试端口开了，三天后自动关闭。但“可以接受”不等于“不用管”。你得给每个低危标注到期时间，就像冰箱里的剩菜，贴个标签，过期就扔。否则时间一长，低危攒成中危，中危攒成高危，最后变成安全事件通报，那就不是整改通知书的问题了。

说白了，低危漏洞不是看你“不超过几个”，而是看你怎么对待它们。单个主机留一个低危，你得能说出为什么留，留多久，谁负责关闭。留两个，你得写清楚风险接受理由，并且让安全主管签字。留三个，别写了，直接修吧——你的系统已经脏到连攻击者都懒得挑食了。