微软研究：38.3万个CVE中仅0.5%曾被真实攻击利用

研究 11月2日 7分钟阅读 已被利用的漏洞有何共同点：对真实世界攻击的数据驱动分析 作者：Microsoft Security Research，查看该作者全部文章；Yair Tsarfaty，查看该作者全部文章；Or Begam，查看该作者全部文章 收听本文 / 1x 分享 链接已复制到剪贴板！ 标签 漏洞 威胁情报 漏洞与利用 内容类型 研究 产品与服务 Microsoft Defender External Attack Surface Management Microsoft Defender for Cloud Microsoft Defender for Endpoint Microsoft Defender Vulnerability Management 主题 可操作的威胁洞察 威胁情报 本文内容 对漏洞格局进行分类 在野被利用的漏洞 防御者应聚焦何处补丁很慢，而利用很快 影响、暴露面以及应聚焦何处 接下来值得关注的对象 Microsoft Security 如何帮助防御者采取行动 参考资料 了解更多 漏洞格局仍在持续扩大。从1999年到2026年9月，各平台和技术上共披露了约383,000个软件漏洞，但其中只有约2,000个CVE（约0.5%）与真实世界的利用活动有关。

这些漏洞呈现出清晰的规律。威胁行为者不成比例地瞄准那些能够实现系统接管的缺陷，尤其是远程代码执行、权限提升和身份验证绕过。AI 辅助的漏洞发现和利用开发，可能进一步压缩防御者作出响应的时间窗口。

打补丁仍然至关重要，但在关键系统上，修复可能需要数周甚至数月，而且一些遗留系统或不再受支持的系统根本无法打补丁。因此，防御者需要把防护集中在能够产生最大影响的地方，同时考虑漏洞被利用的可能性以及成功攻击可能造成的波及范围。

为了让这一庞大的漏洞群体变得可操作，我们从两个维度对每个CVE进行了分析：影响类别和受影响平台。

影响类别反映的是威胁行为者利用某个漏洞可能达成的结果。每个CVE都会被归入其直接促成的、后果最严重的影响类别。例如，当某个漏洞既能绕过身份验证、又能直接促成远程代码执行（RCE）时，我们将其归类为RCE。这种方法有助于把漏洞的底层类型与攻击者可能达成的安全影响区分开来。

我们还按漏洞影响的平台进行了分类，包括 Windows、Linux/Unix、移动端、网络设备、IoT/OT、虚拟化主机和开发者软件包。一个CVE可能横跨多个平台。开发者软件包被单独列为一类，因为它们通常跨平台，且在整体漏洞群体中占相当大的比例。

分析中的大多数CVE影响的是应用代码，包括服务器、Web 应用、浏览器、生产力软件、库和固件工具，而较小一部分影响的是操作系统和系统代码，例如内核、驱动程序和固件。

本分析涵盖截至2026年9月发布的CVE，使用的是 Microsoft 跟踪的漏洞目录。在影响分析中，每个CVE只计一次；在平台分析中，则计入每个相关平台。

在野被利用的漏洞子集远小于整体CVE群体，而且面貌与之迥然不同。每200个已发布的CVE中，被用于真实攻击的不到1个，而那些确实被利用的漏洞，绝大多数集中在能够最大化威胁行为者影响和暴露面的接管类漏洞中。

从影响维度看，差异就变得清晰了。利用活动高度集中在那些让攻击者对系统拥有更大控制权的漏洞上。服务端RCE在已发布CVE中占20%，在已被利用的CVE中升至37%；本地权限提升从11%升至18%；客户端RCE从4%升至13%。相比之下，XSS从15%降至4%，拒绝服务从16%降至7%。操作系统漏洞也呈现类似变化，从整体CVE群体的23%升至已被利用漏洞的41%。

这些规律与威胁行为者偏好能够提供实质性访问和控制权的漏洞相一致。远程代码执行和权限提升可以建立立足点，支撑攻击的后续阶段；而主要导致崩溃或有限脚本执行的漏洞，对于更广泛的入侵而言实用性可能较低。

重要的是，漏洞的标称分类并不总能反映攻击者在实践中能够可靠达成的结果。例如，一些被描述为可促成RCE的漏洞，在真实条件下最终可能只导致拒绝服务。因此，理解漏洞已被证实的影响和可利用性，对于有效确定优先级至关重要。

打补丁很慢，而在关键系统上比其他系统慢得多。在各平台中，服务器是关键资产，也是打补丁最慢的。Microsoft Security Exposure Management 2026年的数据显示，Windows 工作站上的漏洞修复中位数约为两周，而在 Windows Server 上则超过一个月。在 Linux 服务器以及 macOS 上运行的应用上，这一时间延长到10周以上，在网络设备上则超过一年。这段差距就是威胁行为者的窗口，而在暴露时间最长的关键系统上，这个窗口最为宽大。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）