CVSS、EPSS 和 KEV：漏洞修复先看哪个？

三个指标回答的是不同问题

CVSS Base 描述漏洞的技术严重性。FIRST 明确指出，Base 分数本身不等于组织风险，不能单独用来确定补丁优先级。

EPSS 估计一项漏洞在未来 30 天出现利用活动的概率。KEV 则记录已有确认利用的漏洞。预测和已发生的情况要分别看，不能把目录里没有某条漏洞解释成它没有风险。

先查资产，再排顺序

拿到漏洞条目后，先看自己有没有受影响的版本与配置，再检查入口和利用条件。漏洞与资产无关时，分数再高也不能直接变成这台机器的修复任务。

低分和未入目录都不等于可以放着不管

例如一项漏洞分数不高，但资产暴露在公网、又有确认利用，就不能只凭低分把它排到最后。反过来，高分漏洞也需要检查实际部署是否满足利用条件。这里举的是判断情形，不是针对某条漏洞的实时评估。

缺少版本、暴露情况或利用信息时，把缺项列出来，先补足调查，不把未知自动当成低风险。

写下这次为什么先修它

记录采用了什么信息、对应日期、处置负责人和下次复核条件。厂商范围、资产入口或利用情况变化后，就能找到需要重审的任务。

这份流程没有替读者查询资产或获取某条漏洞的实时 EPSS。实际排期仍要以当前资产情况为准。