【名詞解釋】CVSS 通用漏洞評分系統
CVSS 是 Common Vulnerability Scoring System，中文常翻 「通用漏洞評分系統」。
你可以把它理解成：用一套標準公式，把漏洞危險程度量化成分數（0~10），方便你排序修補優先級。
它解決什麼問題？
同一個漏洞有人說很嚴重、有人說還好。
CVSS 讓大家用同一把尺衡量。
分數怎麼看？
一般會看到這種分類：
-
0.1–3.9：Low（低）
-
4.0–6.9：Medium（中）
-
7.0–8.9：High（高）
-
9.0–10.0：Critical（重大）
你最常看到的是「CVSS v3.1 向量」
像這樣：
AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
白話解讀：
-
AV:N：可遠端網路攻擊
-
AC:L：攻擊難度低
-
PR:N：不需要登入權限
-
UI:N：不需要使用者操作
-
C/I/A：機密性/完整性/可用性影響程度
| 欄位 | 你要看什麼 | 代碼 → 白話 |
|---|---|---|
| AV 攻擊途徑 | 能不能遠端打 | N 網路遠端（最危） / A 鄰接網路 / L 本機 / P 實體 |
| AC 攻擊複雜度 | 好不好打 | L 好打 / H 難打 |
| PR 需要權限 | 要不要登入/權限 | N 不用 / L 低權限 / H 高權限 |
| UI 使用者互動 | 要不要人配合 | N 不用點擊 / R 要使用者操作 |
| S 影響範圍 | 會不會跨邊界 | U 不跨 / C 跨（通常會拉高嚴重度） |
| C/I/A 影響面 | 被打中會多慘 | N 無 / L 低 / H 高（機密/完整/可用） |
實務上怎麼用最有效？
你可以這樣做排序：
-
先看 CVSS 判斷技術嚴重度
-
再看 KEV
-
有進 KEV → 代表已在野外被利用 → 直接拉到最前面
-
-
加上你自己的環境因素
-
是否對外暴露
-
是否核心資產
-
是否有補償控制
-
一句話
CVSS = 幫你把漏洞風險「用 0~10 分標準化量化」的系統，
用來做修補優先級與風險溝通。
CVSS vXX向量 如何解讀
你可以把 CVSS 向量想成一串「漏洞特性設定值」，每個欄位都對應一個風險面向。
解讀方式就是：把每個縮寫拆開 → 看它選了哪個值 → 對應官方定義。
下面我用你最常會遇到的 v3.1 和新一代 v4.0 來示範，最後告訴你參數去哪裡查。
怎麼解讀 CVSS v3.1 向量
典型長相：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
你可以照這個順序讀：
Base Metrics（最常用、最重要）
-
AV (Attack Vector) 攻擊途徑
-
N 網路、A 鄰接網路、L 本機、P 實體
-
-
AC (Attack Complexity) 攻擊複雜度
-
L 低、H 高
-
-
PR (Privileges Required) 需要權限
-
N 無、L 低、H 高
-
-
UI (User Interaction) 需要使用者互動
-
N 不需要、R 需要
-
-
S (Scope) 影響範圍是否跨安全邊界
-
U 不變、C 改變
-
-
C / I / A
-
Confidentiality / Integrity / Availability
影響機密性/完整性/可用性 -
N 無、L 低、H 高
-
你可以用一個超快口訣理解
-
AV:N + PR:N + UI:N + AC:L
幾乎就是「遠端、免登入、免點擊、好打」
→ 分數通常會非常高。
CVSS v4.0 有什麼不一樣？
v4.0 把 v3.x 一些模糊處拆更細，
更強調可重現性、真實情境的細節。
你可能會看到類似：
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
你會注意到幾個新或改良概念
-
AT (Attack Requirements) 攻擊前提/條件
-
N 無特殊前提、P 需要特定前提
用來補足 v3 的 AC 在某些場景太粗的問題。
-
-
把影響拆成兩組：
-
V = Vulnerable system（受害系統本體）
-
VC/VI/VA
-
-
S = Subsequent system（後續/相連系統）
-
SC/SI/SA
這樣能更清楚描述「我打 A 但連帶害到 B」的情形。
-
-
那 CVSS v2.0 呢？
你可能還會在老系統看到：
AV:N/AC:L/Au:N/C:C/I:C/A:C
-
Au (Authentication) 舊版用來描述認證需求
v3 之後改成 PR/UI/S 等更細的拆法。
你要去哪裡查「每個參數的官方定義」？
1) FIRST 官方文件（最權威）
CVSS 的規格與定義是由 FIRST 維護。
你要查：
-
每一版（v2 / v3.1 / v4.0）的欄位定義
-
各數值代表的精確意義
-
計分邏輯
2) 官方計算器（最好用）
用計算器的好處：
-
你可以勾選 AV/AC/PR/UI…
-
工具會自動生成向量與分數
-
同時會顯示每個選項的文字說明
你可以用：
-
FIRST 的 CVSS 計算器
-
NVD 的 CVSS 計算器
3) NVD 的 CVE 詳細頁
NVD 頁面上會直接列：
-
向量字串
-
Base Score
-
有時會同時列 CNA 與 NVD 的評分
適合你快速對照。
一個實務上超好用的解讀流程
-
先看版本
-
CVSS:3.1或CVSS:4.0
-
-
先抓「好不好打」
-
AV / AC / PR / UI
如果看到
AV:N + PR:N + UI:N + AC:L
→ 先把它當高優先級候選。
-
-
再看「影響多大」
-
v3.x 看 C/I/A
-
v4.0 看 VC/VI/VA + SC/SI/SA
-
-
最後再加上你自己的環境因素
-
是否對外
-
是否核心資產
-
有無 WAF/隔離/補償控制
-
是否進 KEV（有的話優先級再往前）
-
你可以直接套用的白話翻譯模板
看到一串向量，你可以這樣快速寫成一句話：
這個漏洞可以 （AV） 從 （攻擊途徑） 發動，
攻擊難度 （AC），
不需要/需要 （PR/UI），
影響 （C/I/A 或 VC/VI/VA），
是否跨安全邊界 （S 或 v4 的後續系統影響）。
如果你願意，我可以拿你們實際遇到的一條向量（你貼一串就好），
幫你逐欄位翻成中文 + 寫成 1-2 句可放事故/風險報告的描述。