CVE 是什么？CVE 编号和 CVSS 评分 9.2 是什么意思

WindowsMac更新

CVE 是一个已公开的安全漏洞的公共编号，比如 CVE-2026-109618，它是合称 PHP2Shell 的两个 PHP 漏洞之一。CVE 计划把 CVE ID 定义为标识一个已公开披露漏洞的字母数字字符串。CVSS 评分是另一回事：它用 0 到 10 分给这个漏洞的严重程度打分。本文信息截至 2026 年 10 月 23 日。

简要回答

CVE 是一个已公开安全漏洞的唯一编号，方便大家指的是同一个问题。CVSS 是一套评分体系，用 0.0 到 10.0 分评定漏洞的严重程度。9.0 分及以上属于“严重”（Critical），所以两个 PHP2Shell 漏洞得到的 9.2 分是“严重”。中国的 CNVD 也给了它们编号和评级，对这两个漏洞的综合评级是“高危”。

CVE 是什么？

CVE 是 Common Vulnerabilities and Exposures 的缩写，中文常叫通用漏洞披露。CVE 计划说，它的使命是识别、定义和编目已公开披露的网络安全漏洞，目录中的每个漏洞都有一条 CVE 记录。它的常见问题说，CVE ID 是 CVE 记录的编号部分，格式为 CVE-YYYY-NNNN。

编号的意义在于，让人和工具都能确定说的是同一个漏洞。PHP 官方、新加坡网络安全局（CSA）和美国 CISA 都引用 CVE-2026-109619 时，说的就是同一个具体的缺陷。

谁给漏洞分配 CVE 编号？

一种叫 CVE 编号机构（CNA）的组织。CVE 计划把 CNA 定义为经授权、在自己的范围内定期分配 CVE ID 并发布相应 CVE 记录的机构。

PHP2Shell 的 CNA 就是 PHP 项目本身。两个漏洞的官方 CVE 记录都写明分配者是 PHP，显示它在 2026 年 10 月 12 日预留了这两个编号，并在 10 月 21 日，也就是修复版本发布当天，公开了记录。

CNVD 编号又是什么？

在中国，国家信息安全漏洞共享平台（CNVD）也给这两个漏洞分配了编号。国家互联网应急中心（CNCERT）10 月 22 日的公告说，CNVD 在 10 月 21 日收录了这两个漏洞：

  • CNVD-2026-41674，对应 CVE-2026-109618
  • CNVD-2026-41675，对应 CVE-2026-109619

公告说，CNVD 对该漏洞的综合评级为“高危”；CNCERT 同日的风险提示也把它们称为两个高危远程代码执行漏洞。“高危”是 CNVD 自己的评级。公告没有说明它和 CVSS 分数怎样对应，所以本文不把两者对照。

CVE 编号能说明漏洞有多严重吗？

不能。编号只是一个标识。CVE 计划的常见问题说，记录格式允许 CNA 在发布记录时附上 CVSS 或其他严重程度评分。所以评分来自写记录的一方，这就要说到 CVSS。

CVSS 是什么？

CVSS 是通用漏洞评分系统（Common Vulnerability Scoring System），由 FIRST 拥有和管理。FIRST 的规范把 FIRST 描述为一家总部在美国的非营利组织，使命是帮助世界各地的计算机安全事件响应团队。FIRST 的 4.0 版规范说，CVSS 记录漏洞的主要技术特征，输出包括表示一个漏洞相对于其他漏洞严重程度的数值评分。

最常见的数字是基础分（Base score），范围是 0.0 到 10.0。它附带一个向量字符串，用一小串代码记下评分背后的每个选项。两个 PHP2Shell 漏洞的向量字符串都是 CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N。AV:N 表示可以通过网络攻击，PR:N 表示不需要登录，VC:H、VI:H 和 VA:H 表示对漏洞系统的影响为“高”。FIRST 要求发布 CVSS 分数的人同时给出向量字符串，好让别人看清分数是怎么来的。

这些影响等级在实际中意味着什么，见远程代码执行是什么意思。

CVSS 9.2 分是什么意思？

意思是“严重”。FIRST 的规范把每个 CVSS 分数对应到一个严重程度等级，美国国家漏洞数据库（NVD）用的也是同样的分档：

  • 无（None）：0.0
  • 低（Low）：0.1 到 3.9
  • 中（Medium）：4.0 到 6.9
  • 高（High）：7.0 到 8.9
  • 严重（Critical）：9.0 到 10.0

PHP 项目按 CVSS 4.0 给 CVE-2026-109618 和 CVE-2026-109619 都打了 9.2 分，CSA 的警报也写的是满分 10 分中的 9.2 分，落在“严重”一档。FIRST 说，这些分档是为了帮助组织正确评估漏洞管理工作并确定优先次序。

为什么不能只看分数？

因为基础分衡量的是漏洞有多严重，不是它对你有多大风险。NVD 明说，CVSS 不是风险的衡量标准。FIRST 的用户指南也说，基础分用来衡量漏洞的严重程度，不应单独用来评估风险。

CVSS 4.0 为此另有指标组。威胁指标会根据是否有概念验证代码或正在被利用等情况调整分数，环境指标反映某个组织自己的系统情况。FIRST 说，威胁和环境信息只有使用软件的组织才掌握，应由它们加到基础指标上，得出适合自己的分数。NVD 说它只提供基础指标的评估。

还有一个问题是谁打的分。对 PHP2Shell，三个官方来源给出的分数不同：

  • PHP 项目：按 CVSS 4.0，两个漏洞都是 9.2，“严重”。
  • NVD 自己按 CVSS 3.1 的评估：CVE-2026-109618 为 9.8，“严重”；CVE-2026-109619 为 8.1，“高”。截至 2026 年 10 月 23 日，NVD 没有自己的 4.0 版评估。
  • 群晖的公告 Synology-SA-26:14：两个漏洞的 CVSS3 基础分都是 9.8，“严重”。

向量字符串能看出差别在哪。对 CVE-2026-109619，NVD 把攻击复杂度标为“高”，群晖标为“低”。三方都没有把任何一个漏洞评在“高”以下，PHP 项目对两个漏洞的建议都是更新。

更多问题

CVE 是哪几个词的缩写？

Common Vulnerabilities and Exposures。负责这份清单的 CVE 计划在自己的网站上，把自己描述为一项国际性、由社区推动的工作，用来识别和编目已公开披露的漏洞。

“严重”级别的漏洞，对我来说是紧急情况吗？

只有在你运行受影响的软件时才是。“严重”描述的是漏洞本身，而 NVD 说 CVSS 不是风险的衡量标准。对 PHP2Shell 来说，这指的是运营网站或使用 PHP 设备的人。去哪里看，见如何查看网站的 PHP 版本。

CVSS 3.1 和 4.0 有什么区别？

NVD 说，CVSS 3.x 有三个指标组（基础、时间和环境），4.0 有四个（基础、威胁、环境和补充）。低、中、高、严重这几档的分数范围在两个版本里相同。

在哪里查 CVE 编号？

在 cve.org 上，那里有官方的 CVE 记录；也可以在 NVD 的 nvd.nist.gov 上查。NVD 说它为所有已发布的 CVE 记录提供 CVSS 补充信息，它的页面会同时显示 NVD 和 CNA 的分数。

CVE 和漏洞是一回事吗？

不完全是。漏洞是缺陷本身，CVE ID 是它的标签。缺陷这一面，见漏洞是什么意思。

来源