修复大限过了清单也不删档 KEV为什么算最高优先级

安全圈有一份特殊的名单：漏洞被证实已在真实攻击中出现，就会被收录进去，并给出修复截止日。很多人以为过了截止日、修没修各凭良心，名单会把这些条目撤下来——实际恰恰相反。美国网络安全机构 CISA 维护的这份「已知被利用漏洞目录」（KEV），到期不删档是它的惯例。官方数据直核显示，截至 10 月 13 日，目录版本停在 2026 年 10 月 8 日，总数 1739 条，此前要求 10 月 11 日前完成修复的五条老漏洞，至今仍全数在册。

「在册」本身就是最高优先级

这份目录对企业的价值，不在截止日，而在排序。一条漏洞能进 KEV，前提是它已经被真实攻击验证过——不是研究人员嘴上的「理论上可利用」，而是攻击者手里真有利用代码、真有得手的案例。换言之，上了这份名单的漏洞，就是全球攻击者当下最爱用的一批。企业补丁资源永远有限：全量漏洞动辄成百上千条，不可能同周修完；照 KEV 排序，先修「正在被用」的，是性价比最高的排法。这就是为什么说 KEV 可以直接当作企业的「最高优先级修复清单」来用。

一周的静默之后 通常是放量

还有一个节奏值得留意：10 月 8 日以来这份目录已经一周没有新增。原因不难理解——微软 10 月主批次安全更新按惯例要到北京时间 10 月 14 日凌晨才发布，CISA 手里暂时没有新料可录。而按过往规律，微软批次发布后一到三日内，其中被确认在野利用的漏洞通常会被回录进 KEV。也就是说，本周后半段这份清单大概率会加长一截。对企业运维来说，与其每次被动追新增，不如把「每周对一遍 KEV」固化成例行动作，新增多少、命中几条，一目了然。

别把「没被通报」当成「没风险」

KEV 到期不删档还有一层提醒意义：名单只增不减，意味着历史漏洞的威胁是持续累积的。今天在册的 1739 条，既有最近披露的新漏洞，也有十年前披露、至今仍被攻击的老条目。企业环境里那些装完就再没更新过的设备、系统和组件，很可能正默默对应着其中若干条。「我们的系统没出过事」和「我们的系统不在攻击面上」是两回事——前者靠运气，后者要靠台账和排查来证明。

对贵州企业意味着什么：与其在几百上千条漏洞里凭感觉排期，不如照这份最高优先级清单做一轮针对性排查。单位想按 KEV 清单盘点自家设备与系统的命中情况，贵州诚鑫致达科技可以帮忙建立每周对照的例行机制。

信息来源：CISA 已知被利用漏洞目录（KEV）官方数据（目录版本 2026.10.08，总数 1739）；直核 2026-10-13

企业存储选型参考｜贵州诚鑫致达

做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。