CISA 漏洞目录突破 1739 项，CVSS 与 KEV 的优先级之争

美国网络安全和基础设施安全局（CISA）在 2026 年 10 月 11 日向已知被利用漏洞（KEV）目录新增七个漏洞，使该目录的条目数突破 1739 项。来源称，三天前新增的五个漏洞与名为 Flax Typhoon 的中国关联组织有关，该组织一直在利用可追溯到 2015 年的漏洞。来源指出，这些漏洞的 CVSS 评分并未发生变化，发生变化的是有攻击者被确认正在利用它们。

该来源比较了 CVSS 与 CISA KEV 两套体系：CVSS 由 FIRST.org 维护，按 0.0 至 10.0 给漏洞打严重性分数，衡量的是漏洞被利用后可能造成多严重的后果，而不是它是否正在被利用；KEV 目录则只收录已确认在野外被利用的 CVE，自 2021 年 11 月上线，截至 2026 年 10 月 11 日已收录 1739 项，过去 30 天新增 28 个 CVE。

KEV 目录再度扩容

独立追踪数据表明，截至 2026 年 10 月 11 日，KEV 目录共收录 1739 项条目，仅此前 30 天内就新增 28 个 CVE。该目录自 2021 年 11 月上线，收录标准只有一个：某个 CVE 是否已被确认在野外遭到实际利用。符合这一点才进入清单，不符合则无论严重性评分多高都不会被收录。

在 10 月 11 日之前三天新增的五个漏洞，被追溯到名为 Flax Typhoon 的中国关联组织。供应商与政府合作方观测到该组织利用其中几个具体的 CVE，包括可追溯到 2015 年的 ProFTPD 漏洞和 2021 年的 ONLYOFFICE 漏洞；在利用行为得到确认后，CISA 在连续两天内把这五个漏洞全部加入目录。

CVSS 与 KEV 的差异

CVSS 由 FIRST.org 维护，按 0.0 至 10.0 为每个已编目的漏洞打分，依据的是技术因素：漏洞通过何种途径触及（网络、本地、物理）、攻击复杂度、是否需要权限，以及一旦触发会造成什么后果，即对机密性、完整性和可用性的影响。它衡量的是漏洞被利用后可能有多严重，而不是是否已有人在利用它。

CVSS 历经多次修订。v2 已不再用于新评分，但仍出现在旧 CVE 记录中；v3.0 与 2019 年的 v3.1 加入了 Scope 指标，用于描述一个组件中的漏洞能否让攻击者升级到另一个组件；2023 年底定稿的 v4.0 增加了面向安全和自动化的补充指标，但在多数扫描器中尚未完全取代 v3.1。FIRST 的风险优先级项目明确指出，CVSS Base（CVSS-B）分数旨在衡量漏洞的严重性，不应单独用于评估风险。CVSS 也不了解具体环境，暴露在互联网上的 FortiMail 设备与隔离实验服务器上的同类漏洞会得到相同分数。

10 月新增漏洞案例

10 月批次中，CISA 收录了 Fortinet FortiMail 的 CVE-2026-104286，这是一个 CVSS 9.8 的路径遍历漏洞，允许未认证攻击者写入任意文件，修复期限为 2026 年 10 月 3 日。数天后又收录 Citrix NetScaler ADC 与 Gateway 的 CVE-2026-88779，这是一个评分 8.7 的内存溢出漏洞，修复期限为 10 月 7 日。

同一批次还包含 ProFTPD 的 CVE-2015-3306 和 ONLYOFFICE Docs 的 CVE-2021-3199，前者是 2015 年的文件处理漏洞，CVSS 评分 10.0，后者评分为 9.8。两者已公开记录多年，带着顶级的严重性评分，却长期没有紧迫感，直到 Flax Typhoon 将其用于真实目标。这一过程说明的并非评分失准，而是仅有严重性数字、缺少利用证据时，安全团队无法判断哪个多年前的漏洞会成为本周的紧急事件。

合规要求与优先级

按约束性操作指令 BOD 22-01，美国联邦文职机构必须在 CISA 公布的期限内修补 KEV 所列漏洞。私营组织没有这项法律义务，但多数严肃的漏洞管理项目仍把该目录当作事实上的必办清单，因为它是漏洞从理论走向武器化最清晰的公开信号。

两套体系的作用并不重叠：CVSS 说明漏洞“看起来有多危险”，KEV 说明“是否已经有人在用”。只依赖其中一套，都会在错误的时间修补错误的对象。把严重性评分与利用证据结合，才能判断哪个漏洞真正需要优先处理。

要点

• CISA 于 2026 年 10 月 11 日新增 7 个漏洞到 KEV 目录
• KEV 目录条目数已突破 1739 项
• 三天前新增的 5 个漏洞与 Flax Typhoon 有关
• KEV 目录过去 30 天新增 28 个 CVE
• 联邦民事机构须按 BOD 22-01 期限修补