内容摘要：2023年11月，某国产数据库被曝出一个内存越界写入漏洞。从提交到厂商确认，花了整整47天。这47天里，漏洞细节在一个名为“漏洞通报平台”的网站上公开挂着，任何人都能查。厂商那边说流程没走完，平台这边

2023年11月，漏洞某国产数据库被曝出一个内存越界写入漏洞。通报从提交到厂商确认，平台花了整整47天。漏洞这47天里，通报漏洞细节在一个名为“漏洞通报平台”的平台网站上公开挂着，任何人都能查。漏洞厂商那边说流程没走完，通报平台这边说按规则该公示。平台两边都没错，漏洞但漏洞就在那儿晾着。通报

漏洞通报平台，平台说白了就是漏洞个信息中转站。安全研究员挖到漏洞，通报提交上去，平台平台核实、通知厂商、跟踪修复进度，最后把结果公之于众。听起来简单，做起来全是坑。国内目前活跃的这类平台不超过五家，真正有影响力的也就两三家。CNVD、CNNVD算官方背景，补天、漏洞盒子偏民间。各有各的规矩，各有各的算盘。

我跟踪过一段时间某平台的漏洞披露流程。一个中危漏洞，从白帽子提交到平台审核通过，平均耗时3到5个工作日。审核通过后通知厂商，厂商有90天的修复窗口——这是行业通行的“负责任披露”原则。90天一到，不管修没修，平台都有权公开细节。问题在于，这个90天是死的，厂商是活的。大厂有安全应急响应团队，小厂可能连个专职安全人员都没有。90天对前者是缓冲，对后者是催命符。

去年有个案例让我印象很深。某电商平台的一个逻辑漏洞，白帽子在漏洞通报平台上提交后，平台审核通过并通知了厂商。厂商回复说正在修复。第89天，白帽子在平台留言问进度，没人理。第90天，平台按规则公开了漏洞详情。公开后两小时，厂商安全负责人打电话到平台，说修复包已经准备好了，能不能撤下公示。平台说不行，规则就是规则。第二天漏洞被利用，影响了一批用户数据。这事在圈子里吵了很久，有人骂平台死板，有人说厂商活该。

规则和人情的拉扯，在漏洞通报平台上天天上演。平台要公信力，就得按规矩办事。厂商要面子，能拖就拖。白帽子要认可，提交了就想看到结果。三方诉求拧在一起，平台夹在中间，怎么做都有人不满意。

另一个问题是漏洞的“定价”。民间平台通常用积分或奖金激励白帽子，一个高危漏洞的奖金从几百到几万不等。官方平台不给钱，给的是证书和排名。这就导致一个现象：真正值钱的高危漏洞，白帽子更倾向于直接卖给厂商或者漏洞收购方，而不是提交到通报平台。平台上流通的，往往是那些厂商不痛不痒的中低危漏洞。我认识的一个独立安全研究员，去年挖了十几个高危漏洞，只往平台上交了三个。剩下的，要么走了厂商的SRC，要么通过中间人卖了。他说得很直白：“平台给的那点积分，连我买设备的钱都不够。”

漏洞通报平台的价值，在于它建立了一个公开的漏洞信息库。企业可以查到自己产品被曝了哪些洞，安全团队可以研究漏洞成因，监管机构可以掌握整体安全态势。但它的局限也很明显——没有强制力，厂商不配合就是没辙；没有足够激励，好漏洞流不进来。一个平台如果既管不住厂商，又留不住白帽子，最后就只能沦为“漏洞档案馆”，存着一堆修没修完、报没报全的旧账。

我个人的判断是，漏洞通报平台要想真正发挥作用，得跟厂商的信用体系挂钩。漏洞修得及时不及时，披露配合不配合，直接影响厂商在行业里的评级。评级低了，采购招标受影响，融资尽调被追问。只有让厂商感到疼，90天的窗口才有意义。否则，平台发再多通报，也不过是往墙上贴纸，风一吹就掉了。