一个SQL注入点，网络在黑市上的安全标价是500到2000美元不等。一个零日漏洞，漏洞能卖到十万美元以上——如果你找对买家的等级话。漏洞等级，查询说白了就是网络给这些“数字缺陷”定价的尺子。但真正干过安全测试的安全人都知道，那张等级表上的漏洞数字，远没有看起来那么客观。等级

CVSS评分系统（通用漏洞评分系统）把漏洞从0到10分划了个刻度。查询10分是网络灾难级的，比如能让攻击者远程执行任意代码的安全那种。3分以下基本是漏洞“此路不通”的安慰奖。可问题在于，等级这套评分体系像个只看体检报告、查询不看病人的医生。同一个漏洞，放在一个只有三个访客的内部测试站上，和放在拥有三亿用户的电商平台上，危害能一样吗？CVSS不管这些，它只问你：攻击复杂度高不高？影响机密性没有？然后机械地吐出一个分数。

我见过一个真实案例。某银行系统有个“低危”漏洞——理论上需要物理接触内部网络才能利用。按等级表，这玩意儿连补丁优先级都排不上。结果呢？有个实习生把一台路由器错误地接到了公共区域，物理边界直接消失。那个“低危”漏洞瞬间变成了可以直捣核心系统的后门。等级没变，现实变了。

所以国内的安全圈子里，很多人早就不迷信那张表了。实际工作中更常用的，是“我的资产值多少钱”和“这个漏洞离我的资产有多近”这两个维度。一个能拿到数据库管理员权限的漏洞，哪怕CVSS只给5分，在核心生产环境里也是天大的事。反过来，一个CVSS 9.5分的远程代码执行漏洞，如果只存在于一台已经报废的测试机上，你大可以慢慢修。

还有个细节特别有意思——漏洞的“可利用性”往往比“危害性”更影响处置优先级。你看那些公开的PoC（概念验证代码），一旦被武器化，变成可以一键打穿系统的工具，那这个漏洞的“实际等级”会瞬间飙升。去年某个CMS系统的文件上传漏洞，CVSS才6.5分，中危。结果有人写了个自动化脚本，能在三十分钟内批量拿下所有没打补丁的站点。那一周，所有安全群里都在疯传这个“中危”漏洞的利用工具。谁还管评分卡上怎么写？

说到底，漏洞等级查询这件事，本质上是做决策的参考，不是做决策的依据。你查到的那个数字，帮你筛掉了99%的噪音，但真正决定你今晚要不要爬起来打补丁的，是你对自己系统的理解。等级表告诉你“这可能是危险的”，而你自己的网络拓扑、数据流向、业务重要性，才告诉你“这到底有多危险”。

所以下次再看到某个漏洞被评为“高危”，先别急着恐慌。打开你的资产清单，看看它打的到底是你的心脏，还是你早就想砍掉的阑尾。那个分数，只是个起点而已。