分类与处置参考
| 类别 | 典型内容 | 处置节奏 |
|---|---|---|
| 紧急安全 | 在野利用/公开利用代码 | 临时缓解优先，快速通道跟进 |
| 常规安全 | 月度安全更新 | 按周期批量发布 |
| 稳定性缺陷 | 崩溃/数据错误修复 | 结合业务问题排期 |
| 功能与优化 | 新特性 | 随版本计划推进 |
| 排序输入 | CVSS + 可达性 + EPSS/KEV + 资产权重 |
|---|---|
| 例外 | 无补丁、无窗口、兼容性冲突 → 走例外流程 |
| 输出 | 候选清单按批次与窗口归类 |
安全补丁与功能升级尽量分离：混在一起会放大回归风险，也让回滚更难定位。
补丁分类与优先级口径
补丁按来源与性质分类（安全/缺陷/功能），安全补丁再按可利用性与资产权重排序；分类口径先定好，发布高峰时才不会全凭感觉插队。
易错点
- 把所有安全更新与业务功能升级打包成一个大版本，回滚成为不可能
数据来源与参考
- NIST SP 800-40r4（优先级判定）
- FIRST CVSS（评分参考）