修复大限已过的五条十年老漏洞 你的设备里还有没有同款

美国网络安全机构 CISA 维护着一份名为 KEV 的目录，专门收录「已被发现在真实攻击中被利用」的漏洞，目前目录里共有 1739 条。最近一次更新（目录版本 2026 年 10 月 8 日）回录了五条老漏洞，要求限期修复——修复截止日 10 月 11 日已经过去，这五条仍全数在册。值得注意的是这批漏洞的「年龄」：其中不乏 2015 年、2016 年披露的老 CVE，算下来已经在世上服役十年上下。

为什么十年前的漏洞今天还在害人

十年前披露的漏洞，为什么还能进这份「在野利用」清单？答案很朴素：因为大量设备从来没打过补丁。企业网络里有太多被遗忘的角落——仓库里落灰的老服务器、买了之后没人管的网络设备、装完就再没更新过的软件组件。攻击者手里攒着这些老漏洞的利用代码，成本几乎为零，而对手是一群「补丁欠账」的单位。老漏洞的攻击成功率未必比新零日低，攻击性价比反而更高。

KEV 的逻辑：限期修复就是优先级排序

这份目录对普通企业最实用的地方，是它提供了一个现成的优先级排序。进入 KEV 意味着这个漏洞已经被真实攻击验证过——不是理论风险，是正在发生的事。美国联邦机构被要求对这些漏洞限期修复，这个机制背后的逻辑对企业同样成立：预算和时间都有限时，先修被在野利用的，再修其他的。换句话说，KEV 目录可以当作一份「最高优先级修复清单」来用，照单排查自家设备，比漫无目的地扫漏洞有效率得多。

明天是新一批的天然观察点

还有一个时间点值得留意：按惯例，微软每月第二个周二发布安全更新，明天（10 月 13 日）就是补丁日。过往的规律是，微软批次发布后，CISA 通常会在一到三日之内把其中被在野利用的漏洞回录进 KEV。也就是说，明天之后这份清单大概率会加长——企业现在开始建立「照 KEV 排查」的习惯，正赶得上下一批。

对贵州企业意味着什么：老组件、老设备的补丁欠账是多数单位的隐形负债，一份限期修复清单胜过十次泛泛的安全检查。单位想按这份最高优先级清单做一轮老漏洞排查，贵州诚鑫致达科技可以协助盘点设备台账并给出修复顺序建议。

更多企业 IT 实战经验，请浏览本站技术博客。 信息来源：CISA 已知被利用漏洞目录（KEV）官方数据，目录版本 2026-10-08；直核 2026-10-12

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。