炸了，CVE史上第一次

微步在线

2026年10月20日 08:30
北京

去阅读

漏洞真的爆发了。根据CVE官网，9月25号，CVE-2026-100070公开——2026年的CVE编号正式突破10万。这是CVE体系运行27年来，单年编号首次破10万：此前最高纪录是2025年的70729个，今年仅仅9个月就打破了。 基于CVE Forecast预测，2027年CVE漏洞公开发布量预计最多将达到17.6万个，漏洞增长没有放缓迹象。

创纪录的，不止这一个。根据BleepingComputer统计，就在几天前（10月13日）的Patch Tuesday上，微软一次性修了1411个漏洞，创下历史最大规模。

我们赶上了AI爆发的时代，也是漏洞爆炸的时代。AI agent几秒钟就能扫出一批漏洞，而AI框架和推理引擎自身的安全缺陷也在集中暴露，但我们的修复能力并没有跟上。

发现容易修复难，漏洞清零可能性为0

AI和自动化工具将挖洞成本压到了接近于零。各种大模型代码审计、自动化Fuzzing、SCA工具普及后，几台机器跑几天就能批量产出成千上万个漏洞。但企业修一个漏洞，要走完一整套流程：影响面排查 → 兼容性测试 → 补丁验证 → 业务停机或灰度发布，实际修复极其消耗时间和成本。

更危险的是，漏洞数量暴增也带来了巨大的“信噪比”危机。大量低价值甚至无效的漏洞被赋予CVE编号，不乏重复提交的、填错的、仅在极端本地受限环境下才触发的边缘问题的漏洞。漏洞数量在涨，但真正值得修的漏洞并没有同比变多。

此外，全球的CNA（CVE授权的可编号机构）队伍快速扩张，各个机构对于“什么是真正漏洞”的审核标准不一，原本属于Bug范畴的代码缺陷被大量升格为CVE，导致真正致命的高危漏洞被淹没在海量噪声里。

用AI对抗AI，在被攻击前发现漏洞

当攻击者已经在用AI扫描你的代码、比对补丁差异、自动生成exp，你还只是依靠一年一次的人工渗透，那就是把自身风险的发现权拱手让人。渗透测试的本质就是“模拟攻击找弱点”——攻击者用什么手段，防守方就该用什么手段先跑一遍。攻击方如今用上了AI，防守方的渗透也得跟上。这就是AI红队：用和攻击者同样的AI能力，持续发现自身的漏洞和暴露面，提前补救。

AI红队让企业安全检测从大考变成随堂测验。过去委托多支人类红队战线长、成本高，现在一个指令就能调用多款AI渗透Agent并行工作。例如，微步的RedAgents平台（redagents.cn）将业界多个优秀AI红队Agent集成到同一平台，企业可按需调用，测试数据不出微步环境。

修不完的漏洞，排错优先级才是灾难

对于爆发式增长的漏洞，传统做法是看CVSS分数排期，但CVSS只评估“理论破坏力”，动辄9.8、8.8满天飞。实际上，绝大多数高分漏洞在特定业务场景中根本不可达，也没有公开Exploit或野外利用。只看CVSS做排期，防御资源会被极度浪费。

眼下，我们比以往任何时候都需要进行VPT（Vulnerability Prioritization Technology）漏洞优先级排序。在CVSS的技术维度之上，叠加威胁情报和企业自身业务环境，算出真正的修复优先级。

微步基于攻击大数据做VPT评定，核心看两个维度：威胁因素——有无在野利用、PoC是否公开，已发现利用行为的排最前；环境因素——资产是否暴露互联网、是否核心业务，同一个CVSS 9.8在互联网核心系统上和在隔离内网里，优先级完全不同。而微步漏洞利用情报（VEI）则告诉企业哪些漏洞已对其他组织构成真实威胁，把修复资源投到最可能被打的漏洞上。

确定了修哪个，接下来是怎么修

官方补丁永远是正解，但现实是：补丁动作大、数量多、周期长——影响面排查、兼容性测试、灰度发布，一个补丁走完流程可能要几周。在补丁落地之前，攻击路径是敞开的。

临时缓解措施则是在这个窗口期兜底的：虚拟补丁在网络层拦截漏洞利用请求，不重启业务系统就能生效；访问控制收紧缩小暴露面；入侵检测规则更新，确保攻击发生时能第一时间发现。而PoC环节，微步提供自研无损PoC，不影响业务即可高效排查及验证，同时提供全网公开漏洞PoC。基于漏洞PoC验证能力，能快速输出漏洞利用条件和影响范围，帮助企业精准实施临时缓解。

漏洞不会变少，只会变多。清不了零，就得学会排序，用情报看清哪些真正危险，用AI在红队之前找到自己的弱点，用优先级把有限的修复资源花在最该修的地方。

扫码立即申请试用微步漏洞情报

·END·