弱點掃描報告動輒數千筆，負責修補的 IT 人力卻只有那幾位。NIST 指出，CVE 提交量在 2020 到 2025 年間成長了 263%[1]，需要處理的漏洞只會越來越多。「全部修完」不是可行的目標；可行的目標是讓最可能被攻擊、影響最大的那些漏洞，在攻擊者動手之前先處理好，其餘的則有計畫、有期限地處理。

這篇提供一套可以直接套用的流程：從資產盤點開始，先看暴露面，再結合 KEV、EPSS、CVSS 排序，訂出分級與修補時限，無法修補時改用補償性控制，最後驗證修補真的生效。各種分數的意義，請先閱讀看懂漏洞編號與分數：CVE、CVSS、EPSS 與 KEV。

第一步：資產盤點，沒有清單就沒有優先順序

不知道自己有什麼，就無法判斷哪個漏洞跟你有關。NIST SP 800-40 第 4 版建議持續維護涵蓋實體、虛擬、OT、IoT 與容器等資產的軟體清冊；完全掌握所有資產或許做不到，但可以靠自動化持續發現新資產，維持接近完整的狀態。NIST 也明白表示，過去每月或每季靠一次弱點掃描更新清冊的做法已不應再使用[2]。

NIST 建議以「每一項資產」為單位思考修補，除了軟體與版本，也要記錄資產的技術與業務特性[2]。實務上，清冊至少應包含：

  • 資產負責人與用途，也就是支援哪個業務流程；
  • 是否可以從網際網路連線；
  • 作業系統、韌體與主要軟體的版本，以及原廠支援到期日；
  • 存放資料的敏感度，例如個資、營業秘密、財務資料；
  • 可停機的維護時段，以及合約或法規上的修補限制。

NIST 進一步建議把特性相近的資產分成「維護群組」，為每一組訂出例行修補、緊急修補與緊急緩解的做法與時程；無法修補或不應修補的資產，也要有自己的維護群組，而不是被標成「例外」後就此擱置[2]。

第二步：先看暴露面

同一個漏洞，出現在對外的 VPN 上與出現在內部測試主機上，急迫性完全不同。美國 CISA 在 2026 年 6 月發布的約束性營運指令 BOD 26-04，用四個變數決定修補時限：資產是否公開暴露、漏洞是否列入 KEV、攻擊步驟能否全部自動化、利用成功後攻擊者取得部分還是完全的控制權[3]。其中「公開暴露」的定義是：未經驗證或不受信任的對象，可以透過公共網路存取該資產[3]。

這份指令取代了 2021 年發布的 BOD 22-01。BOD 22-01 採用固定時限：2021 年以後指派編號的 KEV 漏洞兩週內修補，更早的則是六個月內[4]。新指令改成依暴露程度與影響分級，等於主管機關也承認「所有漏洞一視同仁」的時限已不夠用。BOD 26-04 只約束美國聯邦民政機關，但它的四個變數很適合當作企業分級的骨架。

第三步：結合 KEV、EPSS 與 CVSS 排序

確認了「有沒有」與「碰不碰得到」之後，再用三種外部訊號排序：

  • KEV 優先：CISA 強烈建議所有組織把「立即處理 KEV 漏洞」寫進弱點管理計畫[5]；FIRST 也建議，漏洞一旦列入 KEV，不論 EPSS 分數高低，都應視為正被利用並優先處理[6]。
  • EPSS 補上預測：EPSS 估計未來 30 天內被利用的機率。FIRST 指出，如果過去以 CVSS「嚴重」等級篩選，EPSS 約第 90 百分位（機率 0.04 以上）篩出的數量大致相當；若以「高」以上篩選，相當的 EPSS 門檻約為 0.008。這些只是轉換的起點，實際門檻應依自己的修補量能設定[6]。
  • CVSS 判斷影響：CVSS 基本分數衡量的是嚴重程度，不應單獨用來評估風險，應該補上環境與威脅資訊，例如資產的重要性與既有的防護措施[7]。

如果想要一套現成的決策框架，可以參考 CISA 與卡內基美隆大學軟體工程研究所（SEI）共同發展的 SSVC（Stakeholder-Specific Vulnerability Categorization）。CISA 版的決策樹考量五個因素：利用狀態、技術影響、能否自動化、任務普及度與公共福祉影響，並產出四種處置：Track（依標準時程修補並持續追蹤）、Track*（依標準時程，但需更密切留意變化）、Attend（由主管層級介入，比標準時程更快修補）、Act（主管與高層共同處置，盡快修補）[8]。

第四步：訂出分級與修補時限

攻擊者的速度越來越快。Mandiant 的 M-Trends 2026 估計，平均利用時間已降到負 7 天，也就是利用經常在修補發布之前就已開始[9]。BOD 26-04 最緊急的一級，要求在 3 天內完成修補或緩解，並對受影響資產做鑑識初判；最低的一級，則可在下一次排定的重大升級或重建時一併處理[3]。指令也明定時限會隨事實變動：例如把系統從網際網路下線，「公開暴露」從是變成否，要求的時限也隨之調整[3]。

以下是一個可依公司規模調整的分級範例（不是法規要求）：

  1. P1 緊急：對外系統上的 KEV 漏洞，或原廠公告已遭利用的漏洞：3 天內修補或緩解，同時做入侵檢查。
  2. P2 高：內部系統上的 KEV 漏洞；或對外系統上可自動化利用、EPSS 偏高、CVSS 嚴重等級的漏洞：14 天內。
  3. P3 中：內部系統上 EPSS 偏高或 CVSS 高等級的漏洞：30 天內。
  4. P4 低：其餘漏洞：併入每月例行更新，或在下一次系統升級時處理。

分級與時限要經主管核定、寫進政策，並預留緊急變更的流程。台灣的部分企業也有法規要求：依 2026 年 1 月修正的《資通安全責任等級分級辦法》，A 級特定非公務機關知悉資通安全弱點時，應適時修補或採行緩解措施，關鍵基礎設施提供者並應依主管機關指定方式導入弱點管理作業，全部核心資通系統每年也要辦理兩次弱點掃描[10]。適用範圍與其他義務，可參考資通安全管理法重點整理。

第五步：無法立即修補時，用補償性控制

不是每個漏洞都能馬上修：原廠還沒有修補、更新會影響關鍵業務、設備已經停止支援。NIST 把風險處置分為四種：接受（依賴既有控制，或判斷影響夠低）、緩解（修補、停用有漏洞的功能，或用防火牆與網段隔離縮小攻擊面）、轉移（例如資安保險，或改用由服務商負責修補的 SaaS）、避免（移除有漏洞的軟體或汰換資產）[2]。

常見的補償性控制包括：

  • 限制存取：關閉不必要的對外服務，管理介面只允許特定來源連線。
  • 網段隔離：把無法修補的系統移到獨立網段，只開放必要的連線。
  • 停用受影響的功能，或套用原廠提供的暫時緩解設定。
  • 加強監控：針對該漏洞的攻擊特徵設定告警，並保存相關日誌。

每一筆延後修補都要有書面紀錄：原因、採取的補償措施、負責人、到期日與重新檢視的日期。沒有到期日的例外，最後都會變成永久存在的漏洞。

第六步：驗證修補，並持續追蹤

「已經派送更新」不等於「已經修好」。NIST 把驗證列為修補流程的一環：確認修補已成功安裝並且生效，規模一大就需要自動化；之後還要持續監控，確認修補沒有被使用者或攻擊者移除、沒有從備份還原成舊版本、設備沒有被重設回有漏洞的出廠狀態[2]。《資通安全責任等級分級辦法》的資通系統防護基準也要求，系統的漏洞修復應測試有效性及潛在影響，並定期更新[10]。

實務上可以這樣做：

  • 修補後重新掃描，或查詢版本確認；需要重新開機或額外設定才會生效的修補，要特別確認。
  • P1 漏洞修補完成後，檢查是否已經出現入侵跡象。
  • 每月向主管報告幾個指標：各級漏洞在時限內完成的比例、對外系統上未修的 KEV 漏洞數量、逾期與例外的數量、資產清冊的涵蓋率。

行動清單

  • 本週先盤點所有對外開放的系統與設備，確認負責人與版本。
  • 把資產清冊與弱點掃描結果串起來，每筆漏洞標記「是否對外」「是否 KEV」「EPSS」「CVSS」四個欄位。
  • 每天比對 KEV 新增項目；命中對外系統時直接列為 P1。
  • 與主管討論並核定分級與修補時限，寫進政策，同時建立緊急變更流程。
  • 為無法修補的資產建立維護群組與補償性控制，所有例外一律設定到期日。
  • 修補後重新掃描驗證，每月檢視逾期項目與指標。
  • 訂閱通報並追蹤漏洞類通報，掌握需要緊急處理的漏洞；零時差與 N-day 的差別可參考零時差與 N-day 漏洞。