2026年CVE数量突破10万，AI驱动漏洞披露激增
2026年的通用漏洞与暴露（CVE）总数已突破100,000个。截至周五下午4点（UTC时间），安全公司VulnCheck统计的CVE数量为100,222个。这一数字已超过2025年全年总量的两倍。
VulnCheck协调漏洞披露主任Josh Bressers表示：“这有点疯狂。”他指出，虽然10万个漏洞听起来很多，但几年后回顾时，人们可能会觉得这个数字微不足道。Bressers认为，造成这一现象的主要原因可以归结为两个字母：AI。
主要厂商贡献大量新增漏洞
仅微软一家就在周二新增了1,094个安全漏洞，而上个月其新增漏洞数为1,474个。Bressers指出，包括VulnCheck、Microsoft、Oracle、GitHub及其他大型IT供应商在内的所有主要CVE编号机构（CNA），现在都在利用AI技术大规模生成和披露漏洞标识符。
尽管漏洞总量激增，但在野外被实际利用的比例相对稳定。今年公布的CVE中约有1.4%（即1,363个）已被添加到VulnCheck的已知被利用漏洞（KEV）目录中。Bressers强调：“随着CVE基数的增长，1,000个中的1%与100,000个中的1%有着天壤之别。”
补丁发布到攻击利用的时间窗口急剧缩短
安全研究人员记录显示，从安全补丁公开发布到攻击者通过反向工程开发武器化漏洞之间的时间窗口正在迅速缩小，这也归因于人工智能的应用。
- CrowdStrike数据：从1月到6月，该公司观察到88%的基于公开概念验证（PoC）代码的攻击发生在代码发布后的48小时内。与中国有关联的组织如Vault Panda和Genesis Panda行动更快，在披露后24小时内发动攻击。
- VulnCheck数据：从CVE发布到被利用的中位数时间从2025年的120天下降至2026年上半年的80天。下半年这一窗口进一步关闭。
Bressers举例称，VulnCheck周五在Copeland制冷控制器中发现的14个“让我根除”（Let Me Root）漏洞中，有两个正在被积极开发。伊朗黑客曾利用此类设备在欧洲超市破坏食物并引发火灾。“我们发布这些CVE几分钟后，就已经看到有人尝试利用这些信息，”Bressers说，“很难确定是否完全由AI驱动，但我们确实观察到利用速度显著提升。”
行业应对策略转变：从关注漏洞数量到优先处理风险
面对软件漏洞的涌入，整个行业需要改变漏洞披露和修复的方法。Bressers建议：“我们已经没有安全问题了，现在我们有数据问题。与其对漏洞数量着迷，不如开始研究基础设施的热图，找出真正影响你的漏洞。”
美国网络安全和基础设施安全局（CISA）于6月发布了一项网络安全指令，指示组织根据特定风险标准优先考虑补丁。评估标准包括资产是否暴露在互联网上、是否处于活跃利用状态，以及攻击者是否可以自动化利用。Bressers解读称，该指令旨在帮助人们识别真正重要的漏洞并将其置于列表顶部。
开源维护者面临AI生成报告的压力
AI生成的漏洞报告给开源软件开发者和维护者带来了巨大负担。Bressers描述道：“个别开发人员正被漏洞报告淹没，基础架构被AI代理粉碎，每天数以百万计的数据或软件被下载。我们现在做事的方式必须改变，而且很快就会改变。”
不同的开源项目采取了不同的应对措施：
- Eclipse基金会：拥有Open VSX注册表的Eclipse基金会在4月份推出了面向企业客户的大规模组织的“管理层”。该付费版本保证99.95%的上线时间SLA支持服务信用，客户包括AWS、IBM、Google、Cursor和Windsurf。此举旨在让商业用户资助注册表的持续维护及其平台的安全性和性能。
- Curl项目：维护者Daniel Stenberg引用了“大量漏洞报告”的问题。截至10月26日，所有低级和中级严重性报告都直接进入GitHub公共存储库，只有高级和关键性缺陷才能获得私人处理。Stenberg已经关闭了Curl今年的bug赏金计划，原因是AI生成的提交增加了安全团队的工作量。
Bressers总结道：“还有很多事情要做，实现这些变化是一项挑战。人们在LinkedIn上抱怨世界即将终结，很多人犹豫不决，没有人想成为第一个跳进鲨鱼池的人。这是我们面临的挑战之一。”
