美国网络安全暨基础设施安全局（CISA）近日宣布升级漏洞通报流程：为了让研究人员、供应商以及产业合作伙伴更容易提交“已遭利用漏洞列表”（KEV）相关信息，CISA推出专用的漏洞提报表单系统（Nomination Form）。此举的核心目的，是提高CISA对关键威胁的快速识别、验证与共享效率，让社会各方在面对真实被武器化的漏洞时，响应更及时、更协同。
CISA之所以建立KEV机制，是因为并非所有漏洞都会立刻产生同样风险。真正需要优先关注的是那些已经被攻击者利用的漏洞。过去，相关通报往往受限于提交路径不够统一、材料要求不够清晰，导致信息难以及时进入决策链路。新系统则希望把“怎么提、提什么、证据到哪一步”标准化，降低参与门槛，让有能力发现或验证风险的人更愿意投入诚信研究，并把结果公开给需要的人。
根据公告说明，通过该表单系统进行提报时，研究人员必须提供关键材料：首先是漏洞的CVE编号，用来准确定位漏洞身份；其次需要提交“遭到利用的证据”，也就是证明它确实在现实环境中被利用，而不是单纯理论或尚待验证的告警；最后还要给出缓解弱点的明确信息，例如如何降低风险、可采取的修复或缓解建议。把这些要素放在同一通报流程里，有助于CISA在后续评估中更快完成核验，并将结果转化为更有效的安全指导。
对外界而言，这种机制也意味着：厂商可以更方便地把内部观测或验证结果按规范提交，研究人员在披露与协作之间找到更清晰的衔接方式，产业伙伴则能让风险信息以更透明的方式流通，推动更快修复周期。
简而言之，CISA这次推出KEV漏洞提报表单系统，本质是在“让被利用漏洞的通报更容易、流程更标准、协同更高效”。如果你的研究触及已被利用的风险点，不妨按要求准备CVE、利用证据与缓解指引，让关键情报更快进入行动轨道。
