微软统计 38.3 万条 CVE：只有约 0.5% 真被黑客用过

作者：许棠

微软安全团队 11 月 2 日发布分析：1999 年至 2026 年 9 月公开的约 38.3 万条漏洞编号中，确认在真实攻击中被利用的只有 2056 条、约 0.5%，且集中在能接管系统的几类。

微软安全团队 11 月 2 日发布分析：从 1999 年到 2026 年 9 月，全球公开的约 38.3 万条 CVE 漏洞中，确认被真实攻击利用过的只有 2056 条，约占 0.5% 。

CVE 是漏洞的公开编号，类似身份证号，有编号不等于被利用过。微软按“攻击者能拿到什么”给每个编号分类后发现，被实际利用的漏洞高度集中：远程代码执行、提权、认证绕过这类能接管系统的占 78%，操作系统漏洞占比从 23% 升到 41%，而数量庞大的 XSS 从 15% 降到 4%，拒绝服务从 16% 降到 7% 。

更值得注意的是时间差。微软 2026 年的数据显示，修复漏洞的中位时间在 Windows 工作站上约两周，Windows 服务器超过一个月，Linux 服务器和 macOS 应用超过 10 周，网络设备超过一年；而据 CISA 的数据，从漏洞公开到进入“已被利用”目录的平均时间，已从 2024 年的 89 天缩短到 2026 年的 20 天，中位数只有 3 天 。等排期修完，攻击可能早就发生了。

对普通用户来说，结论很朴素：开启自动更新，优先安装厂商明确标注“已在野利用”的补丁，比对着高危编号一个个焦虑更划算。企业则不必平均分配精力，先处理接管类漏洞。

有两点需要打折扣。0.5% 只统及“被观测到”的利用，没被发现的攻击可能被漏掉；另外，微软在文末把结论引向了自家的漏洞管理产品，因此这些数字来自微软自身统计，而文章本身也带有产品宣传 。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] Only 0.5% of 383,000 CVEs are ever exploited in real-world attacks
• [S2] What exploited vulnerabilities have in common: A data-driven analysis of real-world attacks
• [S3] Microsoft Reveals 78% of Exploited Vulnerabilities Enable System Takeover and Privilege Escalation
• [S4] Access Denied | Windows Forum
• 配图 1：来源：Microsoft Security Blog（图片署名见原文） · 图片出处
• 配图 2：来源：Microsoft Security Blog（图片署名见原文） · 图片出处
• 配图 3：来源：Microsoft Security Blog（图片署名见原文） · 图片出处
• 配图 4：来源：Microsoft Security Blog（图片署名见原文） · 图片出处