严重性为什么不等于风险
CVSS 严重性描述的是漏洞本身的固有属性：利用难度、影响范围、机密性与完整性损失，它刻意不包含具体环境。实际风险还要叠加资产暴露程度、业务重要性与已有控制措施。同一个基础分 7.5 的漏洞，放在公网支付网关和放在离线内网测试机上，处置优先级可以相差数个等级。
基本信息
| 严重性 | 漏洞固有属性，来自厂商或漏洞库的评分 |
|---|---|
| 风险 | 严重性 × 资产价值 × 暴露程度 × 控制措施 |
| 典型追问 | 『9.8 分为什么还不修』——答的是可达性与影响面 |
| 落地做法 | 先给处置结论与依据，再给评分作为佐证 |
典型使用场景
- 同一批次漏洞按资产分组，公网可达的排在内网可达之前
- 向管理层汇报时先讲结论（修/缓释/接受）再讲评分依据
- 资源紧张时用暴露面过滤：不可达的高分漏洞可排入常规窗口
- 评估是否值得申请停机窗口：核心系统的中危漏洞也可能优先于非核心的高危
- 复盘漏修事件：区分是评分误判还是资产台账缺失
同一漏洞两种结论
同一漏洞两种结论
# CVE 基础分 7.5，向量相同，结论不同
公网支付网关 可达性: 互联网 数据: 资金相关 结论: 紧急，当日处置
内网离线测试机 可达性: 无外网 数据: 无敏感数据 结论: 低优先，随维护窗口处理
# 排序输入：CVSS + 可达性 + 已有补偿控制 + 资产权重 + 利用情报
# 结论才是输出，分数只是其中一项输入优先级调整因素
| 因素 | 拉高优先级 | 拉低优先级 |
|---|---|---|
| 可达性 | 公网直接可达 | 仅本机或需先取得内网立足点 |
| 数据敏感度 | 资金、身份、核心业务数据 | 公开信息与测试数据 |
| 利用情报 | 已被在野利用或有公开利用代码 | 仅有理论描述，无可用验证 |
| 补偿控制 | 无任何缓解 | 已网络隔离或已有 WAF 规则覆盖 |
把结论写在前面：先说『本周修哪些、为什么』，再说评分分布，汇报时不容易被单个高分漏洞带偏节奏。
统一按分数阈值排期最省事也最容易出错：它会同时造成过度修复（高分但无关紧要）与漏修（中低分但在野利用）两类偏差。