CVE 分診
掃描器交給你四百個 CVE 編號，還有一欄把其中大多數都標成「嚴重」的嚴重程度。這一工具按真正正在被利用的情況給列表排序：用 CISA KEV 目錄判斷已知利用，用 FIRST EPSS 分數判斷利用機率，用 CVSS 判斷影響——每一個輸入都印在它產生的優先級旁邊，所以順序是可稽核的，而不是一個魔法數字。
輸入中還沒有找到 CVE 編號。
每週都要處理修補佇列？用 myeventwatch 免費監控你的站點——到期和停機提醒，無需綁卡。
排名是如何運作的
每個編號都會在三個來源中查詢，並按它命中的第一條規則獲得一個優先級等級。P1 是列入 CISA 已知被利用漏洞（KEV）目錄：這不是預測——CISA 只在有主動利用證據時才收錄一個 CVE——所以 KEV 條目高於一切，表格還會顯示它的修復到期日期，以及 CISA 是否標記了已知的勒索軟體利用。P2 是 EPSS 分數達到 0.10 或更高：由 FIRST 維護的 EPSS 模擬一個 CVE 在未來 30 天內被利用的機率，而 0.10 已經很高——絕大多數有分數的 CVE 都低於 0.01，所以表中也顯示百分位一欄，讓原始分數保持誠實。P3 是 CVSS 基礎分達到 7.0 或更高（高危或嚴重）且沒有任何利用訊號：被利用會很嚴重，但還不知道有人在用。P4 是其餘所有有資料者。在同一等級內，各列按 EPSS、再按 CVSS 排序——而且點擊任何欄標題都可以重新排序，因為你的佇列完全可能與預設順序不同。這個等級從不隱藏它的輸入：如果你不同意某一列的優先級，產生它的數字就在同一列上。
資料來自哪裡，有多新
KEV 目錄和 EPSS 分數每天快取在 sysosx 的伺服器上——兩家發布方每天各發布一份批量檔案，所以本工具每天下載一次這些檔案，你的查詢讀取的是本地副本。結果頁首會註明每個資料源自己的日期（目錄的發布日期、EPSS 的評分日期）以及擷取時間，所以你始終知道是哪一天的資料給你的列表排了名。CVSS 是例外：KEV 和 EPSS 都不包含它，所以分數來自 NVD——一個 CVE 第一次被查詢時擷取一次，並永久快取在伺服器上，因為已發布的 CVSS 分數不會改變。因此，一份非常新的貼上可能會有幾個分數顯示為待定：那意味著快取還沒有覆蓋到那些編號，而不是它們沒有分數——過一會兒重新執行列表，它們就會補齊。像其他伺服器端檢查一樣，新查詢按訪客限速，重複貼上同一份內容會由短期快取提供服務。在底層，本頁帶著擷取出的編號呼叫 sysosx 伺服器上的 GET /api/check/cve-triage。
這項工具無法告訴你的事
三個誠實的限制。第一，「不在今天的快取資料中」只是說它不在三個資料集裡，而不是一個結論：它不是已知被利用的、沒有 EPSS 分數、NVD 也沒有記錄——它仍然可能很新、有爭議，或者以另一個編號被評分，它值得人工看一眼，而不是聳聳肩。第二，利用資料說的是這個 CVE 在世界上的情況，而不是你的資產：一台面向網際網路的伺服器上的 P4，可能比一台氣隙隔離測試機上的 P1 更緊急，只有你知道哪個是哪個——先分診面向網際網路的那一批，這也是本工具一次只收 200 個編號、而不是假裝一個排名適合整個資產群的原因。第三，KEV 的收錄落後於利用，EPSS 是一個模型而不是先知；兩者都遠比單看嚴重程度更好的證據，但都不能取代閱讀 P1 漏洞的廠商公告。排名背後的推理——和一個完整實例——見按利用情況而不是只按嚴重程度分診 CVE。
相關工具：連接埠掃描器，看一台主機實際暴露了哪些服務（每個 CVE 決策的資產那一半）；網站健康檢查，看同一台主機的憑證、到期和記錄；以及當問題是 TLS 設定而不是 CVE 時，用SSL 評級器。
常見問題
資料來自哪裡，有多新？
三個公開來源，每個都在結果中標註了自己的日期。CISA 已知被利用漏洞目錄和 FIRST EPSS 每日分數每天下載到 sysosx 的伺服器一次並快取在那裡——你的查詢讀取本地副本，不會即時查詢 CISA 或 FIRST。CVSS 分數來自 NVD：一個 CVE 第一次被查詢時擷取一次並永久快取，因為已發布的 CVSS 分數不會改變。如果某個分數顯示「待定」，那是快取還沒有覆蓋到那個 CVE——過一分鐘重新執行列表，它就會補齊。
掃描器裡的某個 CVE 缺失或顯示「不在今天的快取資料中」。它安全嗎？
沒有這樣的結論可下，本頁也不會假裝有。「未找到」只表示這個編號不出現在今天快取的任何來源中——它不在 KEV 目錄裡、在目前檔案中沒有 EPSS 分數、NVD 也沒有它的 CVSS 記錄。新的 CVE 每天出現，EPSS 只為它建模過的 CVE 評分，一個 CVE 完全可能真實、嚴重、只是對三者中的任何一個來說都太新。把缺失的列當作「人工分診」，而不是「忽略」。
為什麼一個 CVSS 9.8 排在一個 CVSS 7.5 下面？
因為排名依據的是利用情況，而不是影響。那個 7.5 在 KEV 目錄裡：已知攻擊者正在使用它，所以是 P1。那個 9.8 的 EPSS 分數很高或沒有分數——被利用會很嚴重，但還沒有證據表明有人正在利用它。嚴重程度告訴你一次入侵會有多糟；KEV 和 EPSS 告訴你一次嘗試有多可能發生。修補的順序應先看可能性、再以嚴重程度決勝，這正是 P1–P4 等級所編碼的。下方連結的文章完整地講了這一推理。
優先級等級到底是什麼意思？
P1：該 CVE 在 CISA KEV 目錄中——已知被利用，立即修補，並注意 KEV 到期日期一欄。P2：不在 KEV 中，但 EPSS 分數達到 0.10 或更高——建模得出未來 30 天內被利用的機率在 10% 以上，這是很罕見的區間（遠低於 1% 的有分數 CVE 能達到）。P3：兩者都不是，但 CVSS 基礎分達到 7.0 或更高（高危或嚴重）。P4：有資料，但沒有達到任何閾值——正常排期即可。等級背後的每個輸入都印在它自己的一欄裡；這個等級是一個排序順序，不是一個你必須憑信仰接受的分數。
我能分診超過 200 個 CVE 嗎？
本工具每次查詢接受 200 個編號——把列表分兩批貼上。這個上限避免一次請求壟斷檢查器，而且實際上掃描匯出按資產組拆分本來也更有用：先分診面向網際網路的那一批，因為同一個 CVE 在公開伺服器上和在隔離工作站上是完全不同的緊急事件。