CVSS 4.0 是什么
CVSS v4.0 是 FIRST 在 2023 年 11 月发布的第四个正式版本，用于给漏洞打可比的分。相比 3.1，它新增了攻击要求（AT）指标，把影响拆成受害系统（VC/VI/VA）与后续系统（SC/SI/SA）两组，时序指标只保留利用成熟度（E），环境指标除改造基础指标外还带安全需求（CR/IR/AR）。实际工作中各家公告与漏洞库会同时出现 3.1 与 4.0 两套分数，做统计前必须先按版本字段归一。
基本信息
| 发布方与时间 | FIRST，2023 年 11 月 |
|---|---|
| 适用对象 | 漏洞评分、外部通报、内部定级 |
| 命名档位 | CVSS-B / BT / BE / BTE 四档 |
| 与 3.1 的关系 | 两套分数并存，不可直接比较大小 |
| 计算方式 | 官方按宏观向量查表并插值，非简单公式 |
3.1 与 4.0 结构对比
| 维度 | CVSS 3.1 | CVSS 4.0 |
|---|---|---|
| 利用相关 | AV/AC/PR/UI | AV/AC/AT/PR/UI |
| 影响相关 | S/C/I/A（单一系统） | VC/VI/VA + SC/SI/SA（受害/后续系统） |
| 威胁相关 | E/RL/RC | 仅 E（利用成熟度） |
| 环境相关 | CR/IR/AR + 改造指标 | CR/IR/AR + 改造基础指标 |
| 评分命名 | 基础/时序/环境 | CVSS-B/BT/BE/BTE |
4.0 向量示例
4.0 向量示例
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N # B 组：仅基础指标
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A # 追加威胁指标，即 CVSS-BT
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/CR:H/IR:H/AR:H # 追加环境指标，即 CVSS-BE
# B 组即前缀之后的那些基础指标；四档命名由「是否叠加威胁/环境指标」决定
# SC/SI/SA 描述后续系统影响；SI、SA 还额外可取 S（安全影响），用于人身安全相关场景典型使用场景
- 读厂商公告时先看向量前缀是 CVSS:3.1 还是 CVSS:4.0，再决定分数能不能横向排序
- 内部定级统一以 CVSS-B 为基线，避免被外部自报的时序分带偏优先级
- 按业务暴露面覆写 MAV/MAC/MPR 等改造指标，得到与本方资产匹配的环境分
- 季度统计固定单一版本口径，版本混杂会让「高危占比」这类指标失去意义
- 复核供应商自评分：逐段比向量，定位分歧出在哪一个指标上
四档命名读法
| 命名 | 包含内容 | 适用场合 |
|---|---|---|
| CVSS-B | 仅基础指标 | 对外通报、跨组织可比 |
| CVSS-BT | 基础 + 威胁指标 | 已出现公开利用或 PoC 时的排序 |
| CVSS-BE | 基础 + 环境指标 | 本方资产内部定级 |
| CVSS-BTE | 基础 + 威胁 + 环境 | 最终处置优先级与 SLA 分档 |
4.0 与 3.1 的分数不可直接比较；引用评分时必须注明版本与档位，否则同一漏洞两套分数并存会让阈值判定和排序结论同时失真。
4.0 另有一组补充指标（可自动化性、恢复、价值密度、响应投入、提供方紧迫度等），它们不参与分数计算，只用来补充背景说明，不要拿来当定级依据。