CVSS评分卡在10.0的漏洞打分漏洞，实际危害可能只有3分。漏洞打分而那个被工程师随手标成5.4的漏洞打分中危，往往能让整个内网裸奔。漏洞打分我在甲方做安全运营那几年，漏洞打分最怕的漏洞打分不是漏洞报告堆成山，而是漏洞打分每份报告第一页那个鲜红的阿拉伯数字——它像极了考试分数，却比分数更能决定一个企业今晚是漏洞打分否要加班到凌晨。
去年有个供应链系统报了个7.8分的漏洞打分高危，按流程得48小时内修复。漏洞打分研发团队通宵改完，漏洞打分结果发现攻击路径需要内网VPN权限加域管理员账号。漏洞打分真正的漏洞打分威胁藏在另一个不起眼的2.0低危里——某个文件上传接口没做类型校验，配合一个已泄露的漏洞打分访客账号，直接拿下服务器。漏洞打分那个2.0漏洞没人看，躺了三个月，直到红队演习时被利用，打了全场最高分。
打分标准本身就有问题。CVSS算的是技术严重性，可现实里漏洞的杀伤力还取决于资产价值、暴露面、现有防护措施。同一个Apache Log4j2漏洞，在只跑内部报表的服务器上和在外网业务系统里，风险能差出两个数量级。但评分系统不会管这些，它只冷冰冰地计算攻击复杂度、影响范围这些静态因子。
更讽刺的是，很多团队把补丁优先级完全交给那个数字。高分先修，低分排队。可攻击者根本不看CVSS，他们只看哪个洞好打、打了能拿到什么。去年N-day漏洞被利用的排行里，前十名里有三个在官方评分中都不超过6.0。有个反序列化漏洞评分只有5.3，因为需要认证后才能触发，可那个认证是默认密码的guest账号——这在评分模型里压根不算数。
我开始跟团队定新规矩：评分只能当参考，真正的优先级得靠威胁建模来排。先问资产是否可被外部触达，再问数据敏感度，最后问现有检测能不能看到攻击行为。这套流程跑下来，很多高分漏洞被降级处理，几个低危反而被拉出来紧急修复。效果立竿见影——季度内被真实利用的漏洞数降了四成，而我们的修复工作量反而减少了。
说到底，漏洞打分是个起点，不是终点。那个数字帮我们筛出需要关注的候选者，但谁该被优先处理，得结合自己的业务场景来判断。就像体检报告上的指标，尿酸高不代表马上要住院，但如果你昨天刚吃了海鲜火锅，那确实该多喝水了。
现在每次看到新的漏洞通告，我还是会先扫一眼评分。但紧接着就会打开资产清单，看看这个洞到底能碰到我们什么。分数会骗人，资产不会。这套笨办法，比任何华丽的评分模型都靠谱。