去年冬天，漏洞我负责的预警阅一个项目差点因为一个三周前的漏洞翻了车。那个漏洞在CVE上早就有了记录，漏洞CVSS评分9.8，预警阅利用起来只需要一个精心构造的漏洞HTTP请求。问题是预警阅，我知道得太晚了——直到客户的漏洞安全团队扫描出问题，我才第一次听说它。预警阅

那之后我开始认真对待漏洞情报这件事。漏洞不是预警阅装个杀毒软件那种认真，而是漏洞把漏洞预警当成日常信息流来管理。

为什么是预警阅RSS，不是漏洞邮件订阅或者微信群

邮件订阅我用过一段时间。NVD的预警阅邮件通知、厂商的漏洞安全公告邮件，每天几十封，全堆在收件箱里。刚开始还认真看，两周之后就变成一键已读。微信群更糟，消息刷屏速度太快，漏洞信息夹杂在闲聊里，翻都翻不到。

RSS的好处在于它不推你。它像一个安静的公告板，你有空的时候去扫一眼，没空的时候它也不会消失。而且RSS阅读器天生适合做信息聚合——你可以把十几个来源塞进一个文件夹，按时间线浏览，五分钟过一遍。

我目前订阅的漏洞源大概分三类：

权威数据库类：NVD的RSS feed是基础款，覆盖面广，但更新有延迟，有时候CVE编号出来了，详情要等一两天。CISA的Known Exploited Vulnerabilities目录更实用，它只收录已经被实际利用的漏洞，数量少但每一条都值得看。

厂商公告类：微软的Security Update Guide、Apache的安全公告、Linux内核的CVE邮件列表。这些是一手信息，比NVD快。尤其是Apache这种组件，出了漏洞影响面往往很大，直接看官方公告最靠谱。

安全研究团队类：比如Google Project Zero的博客、Citizen Lab的报告。这些不是标准的漏洞预警，但经常披露一些在野利用的0day细节，信息密度高。

我的实际配置

我用的是Miniflux，一个自托管的RSS阅读器。选它没别的原因——轻量，一个Docker容器就跑起来了，界面干净，没有花哨的功能。

订阅源列表大概长这样：

https://nvd.nist.gov/feeds/xml/cve/misc/nvd-rss-analyzed.xml https://www.cisa.gov/known-exploited-vulnerabilities-catalog.xml https://msrc.microsoft.com/blog/feed https://security.apache.org/blog/feed.xml 

NVD那个feed每天更新几百条，全看是不现实的。我的做法是配合关键词过滤：在Miniflux里设置规则，标题或摘要里包含“remote code execution”“authentication bypass”“actively exploited”这类词的条目自动打星标。剩下的粗略扫一眼标题就行。

CISA的KEV目录更新频率低，一周可能就几条，但每一条我都会点进去看。这个目录的意义在于，它帮你排除了“理论上很危险但没人利用”的噪音。

一个具体的例子

今年年初，我在RSS里看到Apache OFBiz的一个漏洞公告，CVE-2023-51467，认证绕过。当时第一反应是“又是OFBiz”，这个项目漏洞不少。但点进去看了细节之后发现不对劲——不需要认证就能利用，而且PoC已经在GitHub上出现了。

我查了一下我们自己的资产清单，没有直接暴露的OFBiz实例，但有一个内部系统间接依赖了它。当天下午就安排了修复。后来这个漏洞被加入了CISA的KEV目录，再后来看到新闻说有一些企业被利用了。那次是我第一次觉得RSS订阅真的在干活，不是心理安慰。

一些实际经验

RSS订阅漏洞信息有个前提：你得定期看。我固定在每天早上到工位后的前十五分钟刷一遍，跟看新闻一样。如果堆了一周没看，打开阅读器看到999+未读，心态直接崩了。

另外，不要只订阅不整理。我每个月会清理一次订阅源，把那些三个月没更新或者信息质量下降的源删掉。之前订阅过一个安全团队的博客，后来发现它开始发大量营销内容，果断取关。

还有一个坑：RSS阅读器的时间线是按发布顺序排的，但漏洞的严重程度跟发布时间没关系。周五下午发的一个9.8分漏洞，可能比周三上午发的5.0分漏洞重要得多。所以光靠时间线浏览不够，得配合过滤规则和手动标记。

说到底，漏洞预警RSS订阅不是什么高深的技术方案。它就是一个信息管道，关键在于你往里灌什么源，以及你多久去拧一次阀门。工具简单，难的是坚持。