CVE 分诊
扫描器交给你四百个 CVE 编号，还有一列把其中大多数都标成“严重”的严重程度。这一工具按真正正在被利用的情况给列表排序：用 CISA KEV 目录判断已知利用，用 FIRST EPSS 分数判断利用概率，用 CVSS 判断影响——每一个输入都印在它产生的优先级旁边，所以顺序是可审计的，而不是一个魔法数字。
输入中还没有找到 CVE 编号。
每周都要处理补丁队列？用 myeventwatch 免费监控你的站点——到期和宕机提醒，无需绑卡。
排名是如何运作的
每个编号都会在三个来源中查询，并按它命中的第一条规则获得一个优先级等级。P1 是列入 CISA 已知被利用漏洞（KEV）目录：这不是预测——CISA 只在有主动利用证据时才收录一个 CVE——所以 KEV 条目高于一切，表格还会显示它的修复到期日期，以及 CISA 是否标记了已知的勒索软件利用。P2 是 EPSS 分数达到 0.10 或更高：由 FIRST 维护的 EPSS 模拟一个 CVE 在未来 30 天内被利用的概率，而 0.10 已经很高——绝大多数有分数的 CVE 都低于 0.01，所以表中也显示百分位一列，让原始分数保持诚实。P3 是 CVSS 基础分达到 7.0 或更高（高危或严重）且没有任何利用信号：被利用会很严重，但还不知道有人在用。P4 是其余所有有数据者。在同一等级内，各行按 EPSS、再按 CVSS 排序——而且点击任何列标题都可以重新排序，因为你的队列完全可能与默认顺序不同。这个等级从不隐藏它的输入：如果你不同意某一行的优先级，产生它的数字就在同一行上。
数据来自哪里，有多新
KEV 目录和 EPSS 分数每天缓存在 sysosx 的服务器上——两家发布方每天各发布一份批量文件，所以本工具每天下载一次这些文件，你的查询读取的是本地副本。结果页眉会注明每个数据源自己的日期（目录的发布日期、EPSS 的评分日期）以及抓取时间，所以你始终知道是哪一天的数据给你的列表排了名。CVSS 是例外：KEV 和 EPSS 都不包含它，所以分数来自 NVD——一个 CVE 第一次被查询时抓取一次，并永久缓存在服务器上，因为已发布的 CVSS 分数不会改变。因此，一份非常新的粘贴可能会有几个分数显示为待定：那意味着缓存还没有覆盖到那些编号，而不是它们没有分数——过一会儿重新运行列表，它们就会补齐。像其他服务器端检查一样，新查询按访客限速，重复粘贴同一份内容会由短期缓存提供服务。在底层，本页带着提取出的编号调用 sysosx 服务器上的 GET /api/check/cve-triage。
这项工具无法告诉你的事
三个诚实的限制。第一，“不在今天的缓存数据中”只是说它不在三个数据集里，而不是一个结论：它不是已知被利用的、没有 EPSS 分数、NVD 也没有记录——它仍然可能很新、有争议，或者以另一个编号被评分，它值得人工看一眼，而不是耸耸肩。第二，利用数据说的是这个 CVE 在世界上的情况，而不是你的资产：一台面向互联网的服务器上的 P4，可能比一台气隙隔离测试机上的 P1 更紧急，只有你知道哪个是哪个——先分诊面向互联网的那一批，这也是本工具一次只收 200 个编号、而不是假装一个排名适合整个资产群的原因。第三，KEV 的收录滞后于利用，EPSS 是一个模型而不是先知；两者都远比单看严重程度更好的证据，但都不能取代阅读 P1 漏洞的厂商公告。排名背后的推理——和一个完整实例——见按利用情况而不是只按严重程度分诊 CVE。
相关工具：端口扫描器，看一台主机实际暴露了哪些服务（每个 CVE 决策的资产那一半）；网站健康检查，看同一台主机的证书、到期和记录；以及当问题是 TLS 配置而不是 CVE 时，用SSL 评级器。
常见问题
数据来自哪里，有多新？
三个公开来源，每个都在结果中标注了自己的日期。CISA 已知被利用漏洞目录和 FIRST EPSS 每日分数每天下载到 sysosx 的服务器一次并缓存在那里——你的查询读取本地副本，不会实时查询 CISA 或 FIRST。CVSS 分数来自 NVD：一个 CVE 第一次被查询时抓取一次并永久缓存，因为已发布的 CVSS 分数不会改变。如果某个分数显示“待定”，那是缓存还没有覆盖到那个 CVE——过一分钟重新运行列表，它就会补齐。
扫描器里的某个 CVE 缺失或显示“不在今天的缓存数据中”。它安全吗？
没有这样的结论可下，本页也不会假装有。“未找到”只表示这个编号不出现在今天缓存的任何来源中——它不在 KEV 目录里、在当前文件中没有 EPSS 分数、NVD 也没有它的 CVSS 记录。新的 CVE 每天出现，EPSS 只为它建模过的 CVE 评分，一个 CVE 完全可能真实、严重、只是对三者中的任何一个来说都太新。把缺失的行当作“人工分诊”，而不是“忽略”。
为什么一个 CVSS 9.8 排在一个 CVSS 7.5 下面？
因为排名依据的是利用情况，而不是影响。那个 7.5 在 KEV 目录里：已知攻击者正在使用它，所以是 P1。那个 9.8 的 EPSS 分数很高或没有分数——被利用会很严重，但还没有证据表明有人正在利用它。严重程度告诉你一次入侵会有多糟；KEV 和 EPSS 告诉你一次尝试有多可能发生。打补丁的顺序应先看可能性、再以严重程度决胜，这正是 P1–P4 等级所编码的。下方链接的文章完整地讲了这一推理。
优先级等级到底是什么意思？
P1：该 CVE 在 CISA KEV 目录中——已知被利用，立即打补丁，并注意 KEV 到期日期一列。P2：不在 KEV 中，但 EPSS 分数达到 0.10 或更高——建模得出未来 30 天内被利用的概率在 10% 以上，这是很罕见的区间（远低于 1% 的有分数 CVE 能达到）。P3：两者都不是，但 CVSS 基础分达到 7.0 或更高（高危或严重）。P4：有数据，但没有达到任何阈值——正常排期即可。等级背后的每个输入都印在它自己的一列里；这个等级是一个排序顺序，不是一个你必须凭信仰接受的分数。
我能分诊超过 200 个 CVE 吗？
本工具每次查询接受 200 个编号——把列表分两批粘贴。这个上限避免一次请求垄断检查器，而且实际上扫描导出按资产组拆分本来也更有用：先分诊面向互联网的那一批，因为同一个 CVE 在公开服务器上和在隔离工作站上是完全不同的紧急事件。