一則漏洞通報裡，常常同時出現好幾組代號與數字：CVE-2026-XXXXX、CVSS 9.8、EPSS 0.94、「已列入 KEV」。這四樣東西由不同單位維護，回答的也是不同的問題：這是哪一個漏洞、技術上有多嚴重、近期被利用的可能性多高、是不是已經有人在利用。把它們混為一談，最常見的結果是把有限的修補人力花在「分數很高、但沒有人在攻擊」的漏洞上，反而漏掉真正正在被利用的那一個。

這篇適合負責弱點掃描、修補排程，或需要看懂資安通報的 IT 人員與主管。讀完之後，你應該能針對一個漏洞回答兩個問題：它跟我們有沒有關係？如果有，要多快處理？

CVE：漏洞的身分證字號

CVE（Common Vulnerabilities and Exposures）計畫的任務，是識別、定義並編目已公開揭露的資安漏洞，每個漏洞對應一筆 CVE 紀錄[1]。編號的格式是「CVE-年份-流水號」，它的價值在於讓廠商公告、掃描報告、資安通報與內部工單能對上同一個漏洞。

CVE 計畫由美國 CISA 贊助，由 CVE 董事會（CVE Board）負責監督與策略方向，秘書處目前由 MITRE 擔任並維運計畫的基礎設施；實際的編號指派與紀錄發布，則由分布在世界各地、稱為 CNA（CVE Numbering Authority）的合作單位執行[2]。台灣的 TWCERT/CC 也是 CNA 之一，負責其漏洞協調範圍內的編號指派，並以 TVN（Taiwan Vulnerability Note）公告發布相關漏洞[3]。

看到 CVE 編號時要記得兩件事：

  • 編號本身不代表嚴重程度，也不代表已經被攻擊，只代表「這個漏洞被正式登記了」。
  • CVE 收錄的是已公開揭露的漏洞。你自己環境中的設定錯誤、弱密碼，以及尚未公開的漏洞，都不會出現在 CVE 清單裡；掃描報告「沒有列出 CVE」不等於系統安全。

NVD 不再幫每個漏洞打分數

很多人查 CVE 時會連到美國 NIST 的 NVD（National Vulnerability Database），過去 NVD 會替 CVE 補上 CVSS 分數與受影響產品等資訊。NIST 在 2026 年 4 月宣布，因 CVE 提交量在 2020 到 2025 年間成長 263%，自 4 月 15 日起改為優先處理 KEV 目錄中的漏洞、美國聯邦政府使用的軟體與關鍵軟體；其他 CVE 仍會收錄，但列為最低優先、不會立即補充資料，而且 CNA 已經提供嚴重度分數時，NIST 不再例行給出另一個分數[4]。實務上這代表：NVD 頁面上沒有分數，不等於漏洞不嚴重，應改看原廠公告或 CNA 提供的分數。

CVSS：技術嚴重度，不是風險

CVSS（Common Vulnerability Scoring System）由國際組織 FIRST 維護，目前版本是 2023 年 11 月發布的 4.0[5]。它把漏洞特性換算成 0 到 10 的分數，並對應到文字等級：0.1–3.9 為低（Low）、4.0–6.9 為中（Medium）、7.0–8.9 為高（High）、9.0–10.0 為嚴重（Critical）[5]。

分數怎麼來

CVSS 4.0 有四組指標：基本（Base）、威脅（Threat）、環境（Environmental）與補充（Supplemental）[5]。基本指標描述漏洞本身，例如能否從網路遠端觸發、需不需要帳號權限、需不需要使用者配合操作，以及對機密性、完整性、可用性的影響。規格要求標示分數時註明用了哪些指標：只有基本指標的是 CVSS-B，加上威脅指標是 CVSS-BT，加上環境指標是 CVSS-BE，三者都有則是 CVSS-BTE[5]。

分數不代表什麼

FIRST 的使用指南寫得很清楚：CVSS 基本分數是用來衡量漏洞的嚴重程度，不應單獨拿來評估風險；應該補上環境分析與會隨時間變動的威脅資訊，納入這兩類指標的 CVSS-BTE 才比較接近「風險」[6]。廠商公告與公開資料庫上的分數，大多只包含基本指標，因此它不知道：

  • 這個漏洞是否已經有人在利用；
  • 受影響的產品在你公司裡有沒有、是否連上網際網路；
  • 你是否已有其他防護措施擋住攻擊路徑。

另外，同一個漏洞常同時列出前一版 CVSS 3.1 與 4.0 的分數。兩個版本的指標與算法不同，設定修補門檻時應固定使用同一版本，並在紀錄中寫明是哪一版、哪一種組合。

EPSS：未來 30 天被利用的機率

EPSS（Exploit Prediction Scoring System）同樣由 FIRST 維護，用來估計一個已公開的 CVE 在未來 30 天內遭到實際利用的機率，以 0 到 1 表示，每天為每個 CVE 更新一次[7]。

EPSS 有兩個數字，意義不同[8]：

  • 機率（probability）：模型直接輸出的值，例如 0.10 代表估計有 10% 的機會在 30 天內出現利用活動。
  • 百分位（percentile）：這個機率在所有 CVE 中的排名。因為大多數漏洞的機率都很低，機率 0.10 大約就落在第 88 百分位，也就是比約 88% 的 CVE 都高。

FIRST 建議兩者並列，例如「15.3%（第 92 百分位）」，以機率為主、百分位為輔；只看自己環境內的一部分 CVE 時，百分位會改變，機率則不會[8]。

EPSS 也有清楚的限制。FIRST 指出 EPSS 不是嚴重度分數，也不是完整的風險分數；它提供的是「威脅可能性」這一塊，不知道你的環境裡有什麼、攻擊者能不能接觸到，也看不到你的資產清冊與補償性控制[9]。FIRST 也提醒不要把 EPSS 乘上 CVSS 當成綜合風險分數：一個是經過校準的機率，一個是順序等級，相乘之後沒有可以解讀的意義[9]。

KEV：已經確認遭到利用

KEV（Known Exploited Vulnerabilities）目錄由美國 CISA 維護，收錄條件有三：已有 CVE 編號、有可靠證據顯示已在真實環境中遭到利用、有明確的修補方式（例如廠商提供的更新）[10]。換句話說，KEV 不是預測，而是「已經發生」的紀錄。

CISA 依 2026 年 6 月發布的約束性營運指令 BOD 26-04，要求美國聯邦民政機關在規定期限內修補 KEV 漏洞。這項指令不約束民間企業，但 CISA 強烈建議所有組織持續追蹤 KEV，並把「立即處理 KEV 漏洞」寫進弱點管理計畫[10]。FIRST 的 EPSS 使用指引也採相同立場：漏洞一旦列入 KEV，就應視為正被利用並優先處理，不論 EPSS 分數高低[9]。

這就是 KEV 成為最強「現在就修」訊號的原因：CVSS 說明最壞情況有多糟，EPSS 估計可能性，KEV 則告訴你攻擊已經在發生。不過 KEV 只收錄有公開證據、且已有修補方式的漏洞；沒有列入，不代表沒有被利用。

把四個訊號組合成決策

四個指標各自回答一個問題，搭配使用才完整。建議的判斷順序：

  1. CVE：我們有沒有？ 依通報中的產品與版本比對資產清冊。沒有受影響的系統，就記錄後結案。
  2. KEV：是否已遭利用？ 已列入 KEV（或原廠、TWCERT/CC 等單位公告已遭利用），而且受影響系統對外開放，就視為緊急事件，當天啟動修補或緩解，並檢查是否已被入侵。
  3. EPSS：近期被利用的可能性高嗎？ 未列入 KEV，但 EPSS 機率高或短期內明顯上升，排進短期修補。如果你原本習慣用 CVSS「嚴重」等級篩選，FIRST 指出 EPSS 約第 90 百分位（機率 0.04 以上）篩出的數量大致相當，可以當作轉換的起點[9]。
  4. CVSS：影響有多大？ 用來判斷技術嚴重度與影響範圍，在同一個優先級內排序，再依環境因素調整，例如系統是否對外、是否存放個資或營業機密。

舉例來說，一個 CVSS 9.8、只存在於內部測試主機、EPSS 很低的漏洞，與一個 CVSS 7.5、出現在公司 SSL VPN 上且已列入 KEV 的漏洞相比，後者應該先處理。分數高低只是起點，「有沒有人在攻擊」與「攻擊者碰不碰得到」才是決定急迫性的關鍵。要把這套判斷落實成修補時限與流程，可以接著閱讀修補管理：漏洞修不完時，如何排出優先順序。

行動清單

  • 在弱點管理工具或追蹤表中，為每筆漏洞同時記錄 CVE、CVSS 分數（註明版本與組合，例如 CVSS-B 4.0）、EPSS 機率與百分位、是否列入 KEV、受影響系統是否對外開放。
  • 每天把 KEV 新增項目與公司資產清冊比對；CISA 提供可下載的資料檔，可以用簡單的程式自動比對。
  • NVD 沒有分數時，改查原廠公告或 CNA 提供的分數（台灣廠商產品可查 TWCERT/CC 的 TVN 公告），不要把「沒有分數」當成「低風險」。
  • 每週檢視 EPSS 機率明顯上升的漏洞，特別是對外系統上的漏洞。
  • 在報告與工單中不要只寫「CVSS 9.8」，加上「是否 KEV」「是否對外」兩個欄位，主管才能判斷急迫性。
  • 不要把 EPSS 乘以 CVSS 當成風險分數，也不要只依 CVSS 由高到低排修補順序。
  • 到漏洞類通報看近期的真實案例，練習用這四個指標判斷處理順序；也可以訂閱通報在第一時間收到更新。