厂商安全公告是什么
厂商安全公告（Security Advisory）是修复动作的直接依据，比第三方漏洞库更权威。阅读重点有五个字段：影响版本范围、修复版本或补丁号、临时缓解措施、利用条件（是否需认证、是否需交互）、修订记录。公告常被二次修订，改动版本范围或补充缓解措施的情况并不罕见，因此以最新修订时间为准。
基本信息
| 常见字段 | 受影响产品与版本、修复版本、CVE 编号、危害描述、致谢 |
|---|---|
| 微软 | Security Update Guide 支持按 KB 与 CVE 双向检索 |
| 网络与硬件厂商 | 华为、思科、H3C 等按产品线组织公告，多与版本号绑定 |
| 开源组件 | 通常在 GitHub Security Advisory 与发行版安全通告中发布 |
| 更新方式 | 公告会带修订记录（Revision History），需回看改动点 |
阅读顺序
阅读顺序
1. 影响版本是否命中在用版本（含分支与小版本号）
2. 修复版本 / 补丁号是否已发布（如微软的 KB 号）
3. 有无临时缓解（配置开关、功能禁用、规则）
4. 利用条件（是否需认证、是否需交互、是否需要特定配置）
5. 修订记录（Revision History），确认本次是否为二次修订典型使用场景
- 月度补丁排期：先按公告确认命中资产，再决定窗口与回滚方案
- 应急响应：确认攻击者使用的漏洞是否已有官方修复，判断事件阶段
- 例外申请：公告给出的缓解措施是申请延期修复的核心依据
- 资产梳理：用公告的受影响版本区间反向筛选台账，补齐未扫到的系统
- 供应商管控：要求集成商提供其产品的漏洞响应与公告订阅机制
易漏要点
| 要点 | 为什么容易漏 | 怎么补 |
|---|---|---|
| 小版本分支 | 公告按分支列版本，只看大版本会误判 | 逐条比对在用版本号 |
| 更新组合 | 部分产品需按官方顺序组合安装更新 | 按公告给出的安装顺序执行 |
| 缓解措施前置条件 | 缓解可能影响功能 | 先在测试环境验证再上生产 |
| 修订历史 | 公告可能变更影响范围 | 订阅更新或定期回看 |
「最新版本已修复」不等于可以马上升级：先确认升级路径、中间版本要求与业务兼容性，再排期，避免升级本身成为故障源。
公告的致谢与利用描述有时会暴露研究线索：如果公告同时公开了利用条件细节，修补优先级应相应提高，尤其是互联网可达的系统。