中国国家漏洞库（CNNVD）在2023年收录的中国漏洞数量突破了2万条，这个数字比五年前翻了一倍还多。漏洞但真正让人后背发凉的中国，是漏洞其中超过60%的漏洞从公开到被利用，间隔不超过72小时。中国

我去年参加一个安全圈聚会时，漏洞有位在金融行业做红队的中国朋友说过一句话：“现在打点进去根本不用花心思找0day，把公开漏洞库翻一遍，漏洞按图索骥就能穿成一条攻击链。中国”这话糙理不糙。漏洞CNNVD每天更新的中国漏洞信息，既是漏洞防守方的“体检表”，也是中国攻击者的“狩猎地图”。

这玩意儿本质上就是漏洞个漏洞情报集散中心。官方定位是中国“国家信息安全漏洞库”，但在我眼里，它更像一个巨大的“漏洞交易所”——厂商在这里提交漏洞换取积分和声誉，白帽子在这里提交漏洞获取奖金和认可，而安全公司则盯着这里的信息做威胁情报分析。每个漏洞条目都带着编号、危害等级、影响范围、修复方案，像超市货架上的罐头一样码放整齐。

可问题也出在“整齐”上。漏洞库收录的速度永远赶不上漏洞产生的速度。去年爆出的某国产数据库漏洞，CNNVD在漏洞被公开利用后的第5天才发布预警，而那时候暗网上已经有人打包出售利用工具了，标价8000美元。这中间的时差，就是真金白银的损失。

还有个尴尬的现实——漏洞库里的数据质量参差不齐。有些厂商提交漏洞时倾向于“轻描淡写”，把高危定成中危，把中危定成低危。毕竟漏洞评级直接影响企业形象和股价，能压一级是一级。我见过某知名OA系统厂商，自家产品被爆出SQL注入漏洞，硬是把“可远程任意代码执行”写成“存在输入验证不足”，这种文字游戏在库里有不少。

不过话说回来，CNNVD这些年确实在闷头干实事。以前查个漏洞信息要翻好几份英文报告，现在国产漏洞的本地化描述和修复建议都写得挺到位。尤其对中小企业的安全运维来说，这几乎是最便宜的威胁情报来源——不用花几十万买商业情报服务，每天刷刷库就能知道哪些产品出事了。

但光靠一个漏洞库撑不起整个国家的安全防线。漏洞库解决的是“知道有什么病”，可怎么治、谁来治、治不治得起，那是另一码事。我认识的一位国企安全负责人吐槽过：“库里的修复方案写得再清楚，我们还得自己测兼容性、走变更流程，一套补丁下来少说两周，这两周里漏洞早就被人薅秃了。”

说到底，国家漏洞库的价值不在于它收录了多少条数据，而在于它能不能真正缩短从“漏洞公开”到“漏洞修复”的时间。这需要厂商、白帽子、安全公司和监管机构之间形成真正的闭环，而不是各扫门前雪。现在的情况是——库建得越来越漂亮，可漏洞利用的速度依然跑在防御前面。这场猫鼠游戏，远没到能松口气的时候。