CVEvsZero-Day

CVE

CVE 为每个公开的安全漏洞分配唯一编号（如 CVE-2021-44228），是安全行业沟通漏洞信息的通用语言。说「Log4Shell」别人可能不懂，说「CVE-2021-44228」全世界安全人员都知道。

Zero-Day

Zero-Day 是厂商尚不知道或尚未修复的漏洞，意味着没有补丁可打、没有签名可检测。国家级黑客组织和高级 APT 常使用 Zero-Day 进行攻击，一个高价值 Zero-Day 在黑市上可卖数百万美元。

CVE

• 格式：CVE-年份-序号
• 由 MITRE 维护，全球统一标准
• CVSS 评分衡量漏洞严重性（0-10 分）

Zero-Day

• 厂商不知道 = 没有补丁 = 无法防御
• 黑市价格从数万到数百万美元不等
• Google Project Zero 是最活跃的 Zero-Day 研究团队

CVE

为公开披露的安全漏洞分配唯一标识符的全球标准编号系统

Zero-Day

厂商尚未知晓或尚未发布修复补丁的安全漏洞

CVE

• 漏洞信息的标准化沟通
• 补丁管理的优先级排序
• 合规审计的漏洞追踪

Zero-Day

• 国家级网络攻击
• 高价值目标的定向渗透
• 安全研究和漏洞赏金

CVE

CVE 系统由 MITRE 于 1999 年创建，为每个公开披露的安全漏洞分配唯一标识符。CVE 编号是安全行业的通用语言，用于漏洞通报、补丁管理和合规审计。每个 CVE 通常附带 CVSS（通用漏洞评分系统）评分，从 0 到 10 衡量严重性。2024 年新增 CVE 超过 30000 个，反映了软件生态的复杂性和安全研究的活跃度。CVE 的局限在于：编号分配有延迟、描述可能不够详细、且不包含未公开的漏洞。

Zero-Day

Zero-Day 得名于厂商发现漏洞时已有 0 天时间来修复。这类漏洞是网络攻击中最危险的武器，因为传统的基于签名的防御完全无效。Zero-Day 的生命周期：发现 → 利用（或出售）→ 厂商获知 → 发布补丁 → 用户更新。缩短这个周期是安全行业的核心目标。Bug Bounty 计划激励研究者向厂商报告而非出售给黑市。行为检测和零信任架构是应对 Zero-Day 的主要防御策略。