972个 CVE 之后：Tenable、Qualys 与 Rapid7 的漏洞管理之争

据 CrowdStrike 对 2026 年 9 月补丁日的分析，微软在单次发布中修复了约 972 个漏洞，是其追踪到的单月最高数量，其中 113 个被评为严重级，两个在补丁发布前已遭实际利用。同一时期，Chrome 发布 152.0.7977.82/.83 修复 12 个安全问题，其中一个 V8 零日漏洞已被利用，成为 Chrome 年内第六个被确认遭利用的零日漏洞；Cisco 确认 Secure Email Gateway 与 Identity Services Engine 各有一个漏洞被利用，Citrix 也披露 NetScaler ADC 与 Gateway 两个严重漏洞正被利用。

在漏洞数量与在野利用同时上升的背景下，Tenable、Qualys 与 Rapid7 三家的漏洞管理平台成为企业安全团队比较的对象。三家公司都已不再以漏洞扫描器作为主要自我定位，而是把资产发现、扫描、补丁与修复流程和风险评分整合到统一平台，区别在于底层架构、定价方式与风险评分模型。

创纪录的补丁月

据 CrowdStrike 对 2026 年 9 月补丁日的分析，微软在单次发布中修复了约 972 个漏洞，这是该机构追踪到的单月最高数量，其中 113 个被评为严重级，两个在补丁发布前就已遭实际利用。

同一时期，Chrome 发布 152.0.7977.82/.83，共修复 12 个安全问题，其中一个 V8 漏洞被列为 CVE-2026-85046，属于已被利用的零日漏洞，成为 Chrome 在 2026 年第六个被确认遭利用的零日漏洞，并被加入 CISA 的已知被利用漏洞目录，附带修复期限。苹果则针对 CVE-2026-86950 发布了 iOS 26.7.1、iPadOS 26.7.1、macOS Tahoe 26.7.1 和 macOS Sequoia 15.8.1 更新，该漏洞由 Meta 安全团队标记，与一次定向攻击有关。Cisco 确认 Secure Email Gateway 中的 SQL 注入漏洞 CVE-2026-76461 和 Identity Services Engine 中的认证绕过漏洞 CVE-2026-76460 均已被利用；Citrix 也披露 NetScaler ADC 与 Gateway 的两个严重漏洞正被利用。

三家平台现在的形态

这一领域的品牌命名每隔一两年就会调整，三家厂商自上一轮主要对比以来都重新包装了旗舰产品。Tenable One 如今是曝光管理平台的总品牌，Tenable Vulnerability Management 是承接早前 Tenable.io 名称的具体云扫描服务；公司仍在销售独立的 Nessus 扫描器，但 Nessus 本身并不等于多数企业买家评估的 Tenable One 套件。

Qualys 把漏洞检测与响应工具整合进 Qualys Enterprise TruRisk Platform，其中 VMDR 是团队最常拿来与 Tenable、Rapid7 对比的模块。Qualys 将 VMDR 定位为单一代理方案，把资产清点、漏洞扫描、补丁与修复流程和风险评分收进一个控制台，而不是各自独立的外挂产品。Rapid7 的 InsightVM 依托 Insight 云平台，并借助该公司在 Metasploit 上的长期积累做可利用性优先排序；按 Gartner Peer Insights 的描述，它通过 Insight Agent 与本地 Scan Engine 的组合覆盖本地、云和远程资产。三家厂商都不再以“漏洞扫描器”作为主要自我描述，而是把自己定位为曝光或风险管理平台。

风险评分与发现方式

在风险评分上，Tenable 使用 Vulnerability Priority Rating（VPR），Qualys 使用 TruRisk Score，Rapid7 使用 Active Risk Score，强调可利用性优先排序。发现方式上，Tenable 依靠网络发现，并通过基于 Nessus 的扫描器与曝光管理连接器执行认证与非认证扫描；Qualys 采用 Cloud Agent 结合无代理的网络与设备扫描；Rapid7 则以 Insight Agent 配合本地 Scan Engine 完成覆盖。

对安全团队意味着什么

这类工具解决的是优先级问题，而不是发现问题。现代扫描器都能找到漏洞，更难回答的是：单次补丁日发布的 972 个 CVE 中，哪些值得占用一次紧急变更窗口，哪些可以留到正常周期处理。当已被利用的漏洞同时出现在浏览器、终端、网络设备和邮件网关上时，问题就不再是哪款工具找到的 CVE 最多，而是哪个平台能足够快地把跨这些资产类型的利用情报关联起来。三家的差别，正体现在底层架构、定价方式和风险评分公式上。

要点

• 微软 9 月补丁日修复约 972 个漏洞，其中 113 个为严重级
• 其中两个漏洞在补丁发布前已遭实际利用
• Chrome 年内第六个被确认遭利用的零日漏洞出现在 V8
• Cisco 被利用的是 SEG 的 SQL 注入与 ISE 的身份验证绕过
• Citrix 披露 NetScaler ADC 与 Gateway 两个严重漏洞遭利用