补丁优先级

按严重度和可利用性排补丁，使关键修复先发装饰等。

为什么

并非所有补丁相等，同等对待意味要么每补丁当紧急发（倦怠、部署变噪、真紧急被漏）要么全批（关键 CVE 等季度发布 2 周）。优先级排 — critical（生产可利用，今天发）/ high（条件可利用，本周发）/ medium（不可利用但错，下发布发）/ low（装饰，批）— 使响应匹配风险。关键输入是可利用性非仅严重度：需认证 + 特定配置的 critical 严重度漏洞优先级低于任何未认证请求可利用的 high 严重度。按可利用性排是使补丁响应该快处快该静处静的方式。

何时使用

每补丁。分诊时排且可利用性变时重排（如 PoC 发布）。

如何做

1. 分诊时同时赋严重度（CVSS）和可利用性（有 PoC？需认证？特定配置？）
2. 算优先级：critical+可利用 = P0（今天）| critical+条件 = P1（本周）| high = P2（本 sprint）| medium/low = P3（批）
3. P0：放下一切、分支、修、测、24 小时内部署；通知值班 + 安全负责人
4. P1：本周修，作为补丁发布部署；changelog 通知
5. P2：本 sprint 修，随下次计划发布部署
6. P3：批入下次 minor 或季度"维护"发布
7. 条件变则重排：公开 PoC 出现那刻 P2 变 P0
8. 跟踪补丁优先级仪表盘：漏洞、严重度、可利用性、优先级、ETA、状态

示例

# 补丁优先级矩阵
| 漏洞          | CVSS | 可利用？            | 优先级   | ETA      |
|---------------|------|---------------------|----------|----------|
| 认证绕过      | 9.8  | 是，未认证，生产    | P0       | 今天     |
| 原型污染      | 7.5  | 是，但需认证        | P1       | 本周     |
| admin XSS     | 6.1  | 是，仅 admin        | P2       | sprint   |
| 信息泄漏      | 3.7  | 无 PoC              | P3       | 批       |

# P0 响应（今天）
git checkout -b hotfix/auth-bypass
# 修 + 回归测试
git commit -m "fix(security): 认证绕过 [P0, CVE-2024-9999]"
npm test && npm run e2e
# 立即部署，绕正常发布计划
# 通知：值班、安全负责人、#incidents 频道

# PoC 出现时重排
# "VULN-042 原 P2（无 PoC）。公开 PoC 刚现 -> P0。"
# -> 放当前工作，今天修 VULN-042

常见问题

⚠每 CVE 当 P0 — 团队倦怠、部署变噪、真 P0 淹在噪中。
⚠仅按 CVSS 排忽可利用性 — 需罕见配置的 9.8 等而有公开 PoC 的 6.1 发。
⚠PoC 出现不重排 — P2 坐数周而野外被积极利用。

最佳实践

✓按可利用性（有 PoC？需认证？）非仅 CVSS 排 — 有公开 PoC 的低 CVSS 比理论的高 CVSS 优先。
✓PoC 发布那刻重排 — P2 可一夜变 P0，排名须跟踪。
✓部署节奏匹配优先级：P0 今天、P1 本周、P2 本 sprint、P3 批 — 别把 P0 批入 sprint。