近期，美国网络安全与基础设施安全局（CISA）宣布推出一套“已遭利用漏洞列表（KEV）”的提报表单系统。其核心目的很直接：让研究人员、漏洞供应商以及产业合作伙伴，在发现某个漏洞已被攻击者实锤利用后，能够更快、更方便地完成通报，从而帮助CISA更迅速识别、验证并共享与KEV相关的重要威胁情报。
据CISA说明，这次新增的提报机制并不是为了“增加流程”，而是希望提升透明度与协同效率。过去，很多关键信息往往分散在不同团队或渠道，导致从“发现被利用”到“进入官方处置视野”之间存在时间落差。现在，CISA将KEV漏洞提报归口到统一的Nomination Form流程中，让参与方按同一标准提交材料。
那么，研究人员在平台上需要准备什么？通报并非只说一句“疑似可被利用”就结束。系统要求至少提供漏洞的CVE编号；同时要附上证明该漏洞确实遭到利用的证据；最后还需要给出更关键的一部分——针对弱点的明确缓解（修复/缓解）指引。也就是说，提交的不只是“发现”，还要尽量提供“如何应对”，让后续的风险评估与修补行动更落地。
CISA强调，这套平台也鼓励开展诚信的安全研究。换句话说，只要研究者愿意推动公开、可核查的信息流转，就能在公共防护体系中发挥更直接的作用。对产业链而言，KEV的更新往往会影响补丁排程、供应商通告与企业应急策略；而更高的通报可达性与一致的提交结构，最终会让修复响应更快、覆盖更广。
从安全治理角度看，这次“让通报变简单、让证据更规范、让修复更明确”的改动，值得所有做漏洞研究与防护的团队关注。未来当更多被利用的漏洞进入KEV，企业侧也能更快据此调整防护优先级。
