對近38.3萬個CVE漏洞
的分析發現，攻擊者正集中攻擊一小部分高危漏洞，而這些他們最青睞的系統恰恰是修復最慢的。
微軟自身的遙測數據顯示，企業網路設備上漏洞的中位修復時間超過一年，而與此同時，最具破壞性的軟體漏洞在披露後數天內就被武器化利用。
微軟安全研究團隊周一公布了這一發現，該分析覆蓋了從1999年到2026年9月披露的約38.3萬個CVE漏洞。數據顯示，網路設備漏洞的中位修復時間超過一年，Windows伺服器超過一個月，運行在macOS上的Linux伺服器和應用程式超過10周，而Windows工作站約為兩周。
微軟安全研究員亞伊爾·查爾法蒂和奧爾·貝甘在詳述這些發現的部落格文章中寫道："這一差距就是威脅行為者的作案窗口期，而在那些暴露時間最長的關鍵系統上，這個窗口期也最大。"他們指的是漏洞被利用的速度與關鍵系統修復速度之間的差距。
修復周期以周和月計算
微軟的修複數據來自其安全暴露管理產品2026年的數據。根據這篇博文，Windows工作站上漏洞的中位修復時間約為兩周，但在Windows伺服器上則超過一個月。這一延遲在Linux伺服器和運行在macOS上的應用程式中拉長至超過10周，在網路設備上則超過一年。
網路安全研究員兼紅隊專家維布姆·杜貝表示，這些發現與他在企業環境中觀察到的情況相符。在這些環境中，變更審批、應用依賴關係、維護窗口期以及遺留基礎設施都在常態性地拖延修復工作。
"網路設備尤其棘手，因為固件升級可能影響關鍵業務運營，"杜貝說。"在許多情況下，挑戰並不在於識別漏洞，而在於讓正確的團隊在不中斷業務服務的前提下完成修復。"
漏洞利用以天計算
微軟在博文中寫道，漏洞利用的速度要快得多。研究人員引用美國網路安全和基礎設施安全局（CISA）的數據稱，從CVE發布到被列入CISA已知被利用漏洞目錄的平均時間，已從2024年的89天降至2025年的57天。而在2026年截至9月的數據中，這一平均時間已降至20天，中位數僅為3天。
博文寫道："漏洞利用遵循的是完全相反的時間表：最具影響力的漏洞會在數天內被武器化，而且越來越多是在披露當天或之前就已發生。"
研究人員還引用了VulnCheck發布的《2026年漏洞利用狀況報告》，該報告發現2025年29%的漏洞利用行動是在CVE發布後一天內發起的。微軟在博文中寫道，行業研究表明，人工智慧的進步是縮短漏洞利用開發所需時間的重要因素。
杜貝表示，在某些情況下，防禦方可利用的時間是以小時計算而非以周計算。漏洞可能在公開披露之前，或在企業完成初步評估之前就已被利用。
他說，企業需要擺脫完全依賴月度掃描和計劃性修復周期的做法。取而代之的，他表示，企業需要持續監控、應急修複流程、通過WAF和IPS控制實現虛擬更新檔，以及明確的修復責任歸屬。
杜貝說："重點應該是縮短暴露窗口期，因為當一個漏洞進入常規修復隊列時，攻擊者可能已經在利用它了。"
漏洞利用的落點
該分析發現，攻擊者實際使用的漏洞與CVE總體分布情況大相徑庭。伺服器端遠程代碼執行（RCE）漏洞占所有已公布CVE的20%，但在實際被利用的漏洞中占比達37%。本地權限提升漏洞的占比從11%升至18%，客戶端RCE漏洞的占比從4%升至13%。
研究人員指出，跨站腳本攻擊漏洞在已公布CVE中占15%，但在被利用的漏洞中僅占4%；拒絕服務漏洞的占比則從16%降至7%。作業系統漏洞在總體中占23%，但在被利用的CVE中占比高達41%。
研究人員寫道："這些模式與威脅行為者偏好能夠提供有實質意義的訪問權限和控制權的漏洞這一現象相一致。"
博文指出，RCE漏洞、身份驗證繞過和本地權限提升三者合計占實際被利用漏洞的78%。在微軟的數據中，Windows是受影響漏洞數量最多的平台。
按暴露程度確定優先級
據微軟介紹，一個漏洞對攻擊者的價值取決於其影響力和暴露程度。影響力是指成功利用漏洞後能獲得什麼；暴露程度則是指從被攻陷資產可觸及的身份、權限和網路連接。
博文指出，伺服器上經常運行著服務帳戶、應用程式身份或雲管理身份，這些身份往往擁有超出實際所需的權限。攻陷其中任何一個，都可能打開通向敏感數據、管理權限和可信網路的路徑。
杜貝表示："僅憑CVSS評分已經不夠了。"他說，企業應基於實際被利用情況、網際網路暴露程度、資產關鍵性以及潛在攻擊路徑來確定漏洞修復的優先級。他說："一個存在已知漏洞利用方式的面向網際網路的中等嚴重性漏洞，其風險可能比一個處於隔離狀態資產上的嚴重漏洞更高。"
本文最初發表於CSO網站。
