2023年9月，网络某主流路由器厂商被曝出远程代码执行漏洞，产品攻击者无需任何认证就能接管设备。安全国家信息安全漏洞共享平台（CNVD）在收到报送后，漏洞仅用了4天就完成验证并向厂商通报。现并但真正有意思的通报是后续——该厂商在收到通报后，又拖了整整三周才发布修复固件。所提这中间的网络空窗期，足够黑客把几十万台设备变成僵尸网络的产品一部分。

漏洞发现和通报机制，安全本质上是漏洞在和时间赛跑。CNVD、现并CNNVD这些平台每天收到成百上千条漏洞信息，通报但真正能进入通报流程的所提不到三成。为什么？网络因为大量报送质量堪忧。有人提交的是早已公开的旧漏洞，有人连复现步骤都写不清楚，还有人纯粹是为了刷个证书。平台审核人员得从垃圾堆里淘金，这活儿比想象中枯燥得多。

我认识一个独立安全研究员，他去年向某平台报送了一个智能门锁的漏洞——通过蓝牙协议劫持能直接开锁。漏洞本身很有价值，但他提交的材料里只附了一段模糊的抓包截图，没有详细的技术分析。平台初审就打了回票，让他补充材料。他当时挺不爽，觉得平台故意卡流程。后来他按平台要求补全了攻击场景演示视频和受影响固件版本列表，整个流程走下来，从报送到底层厂商确认修复，花了47天。这速度不算慢，可如果这个漏洞被黑产抢先利用，47天足以让一个小区所有同款门锁变成摆设。

通报机制的尴尬在于：它既不能太快，也不能太慢。太快了，厂商来不及准备补丁，漏洞细节公开反而让更多人受害；太慢了，漏洞在暗网上可能已经转了好几手。2019年某国产数据库软件漏洞就是个典型——安全研究员在境外论坛上发现了利用代码，比国内平台收到报送早了整整两个月。等平台走完流程发通报时，攻击工具早就在黑市上流通了。

还有个常被忽略的环节：通报之后的反馈闭环。多数平台只负责“发现并通报”，至于厂商到底修没修、修得怎么样，跟踪得并不紧密。去年有份行业报告显示，约35%的漏洞通报在发出后6个月内没有任何修复确认记录。有些厂商嘴上说收到，实际上压根没当回事。平台没有强制力，只能靠企业自觉。这就像有人告诉你邻居家着火了，你喊了一嗓子，可人家不开门，你也只能干瞪眼。

漏洞报送这事，本质上是一个信任链条——研究员信任平台不会乱用漏洞信息，平台信任厂商会认真修复，厂商信任用户会及时更新补丁。链条上任何一环断裂，整个机制就形同虚设。我见过最理想的状态是：研究员提交漏洞当天，平台就完成初步验证，同时向厂商发出预警，厂商在48小时内给出修复时间表，平台持续跟踪并公开进度。这种效率在现实中很少见，但并非做不到——关键看平台愿不愿意投入人力做深度验证和持续监督。

说到底，通报不是终点，修复才是。一个漏洞从被发现到最终被修复，中间的每一道工序都在跟攻击者抢时间。平台如果只满足于“发个公告”，那跟掩耳盗铃没什么区别。真正有价值的，是那个从“发现”到“修复”之间不断压缩的时间差。