同一天发布三条核心公告只有一条定成严重级，分级看什么
先看这组真实公告的读法。某 CMS 在 2026-10-14 同一天发布三条核心安全公告：SA-CORE-2026-014 被定为严重级（Critical），是字段界面模块里的远程代码执行问题；SA-CORE-2026-015 与 SA-CORE-2026-016 只定为中等级（Moderately critical），是标记与属性净化相关的跨站脚本问题。同一天发布三条核心公告但只有一条定成严重级，原因不在发布安排，而在安全等级的划分口径——安全等级是怎么分的，分的正是下面这三件事：安全等级度量的是「这个问题能被谁、从哪里、造成多大破坏」，不是「最近出了几件事」。同一天三条公告只有一条定成严重级，恰好是这套口径的正常输出。
分级读的是可达性
定级最高的一档，共同特征都指向可达性：不需要登录就能触发、通过网络远程可达、命中后获得的是服务器级控制权。远程代码执行之所以总是排在等级表顶端，是因为它把「网站被打挂」升级成「整台机器易主」，同一台服务器上跑的数据库、内部服务、备份文件全部连带沦陷。中等级的问题往往输在可达性的一环：要么需要已登录且具备特定角色，要么触发依赖站点的配置组合，影响面被限制在页面展示与用户会话层。
权限前提怎么影响优先级
权限要求是分级里的减分项，但只是「降低概率」，不是「免除处置」。需要权限触发的漏洞，攻击者要先拿到一个账号，前置成本高了，被实际利用的概率下降，等级随之下调；可一旦站点存在弱口令、凭据泄露或内部账号滥用，这层前提就形同虚设。所以处置顺序要按「你的站点是否满足它的前提」重排：一个要求管理员权限的中级漏洞，如果后台长期暴露公网且密码策略松散，对你的优先级可能高于一个要求特殊配置的严重漏洞。
按等级排处置顺序
| 等级信号 | 判定要点 | 典型处置窗口 |
|---|---|---|
| 严重 | 未授权远程可达，可获取服务器控制 | 立即缓解，当天完成重启式缓解或虚拟补丁 |
| 高 | 需低权限或用户交互，影响面跨全站 | 一周内升级，期间收紧暴露面 |
| 中 | 需特定权限或特定模块启用 | 随下一个维护窗口升级 |
| 低 | 信息泄露有限、利用链不完整 | 合并进常规更新节奏 |
排窗口之外还有两件必做：缓解措施按通告的执行范围做全（要求重启每个进程的就逐个重启），以及无论等级高低，事后都检查凭据——攻击是否已经发生过，看访问日志与异常账号，不看漏洞等级。
自家公告该怎么写
对照自家系统的做法更有体感。AnQiCMS 在 v3.6.6 的修复列表里公开处理了两项高危问题：列表排序参数的 SQL 注入，与站点切换时登录凭证可被伪造（修复引入一次性票据机制）。这条公告的特征与上面的口径一致——不只写「修复了两个漏洞」，还给出后续动作：轮换全站请求的签名密钥（只执行轮换动作，密钥值不落任何文字），并把管理员口令一并修改。高危修复附带凭证轮换建议，正是「等级要落成动作」的写法：被利用过的系统，打补丁只关闭未来入口，不追回已流出的凭据。
另一层的功夫在默认姿态。漏洞分级教的是事后排序，事前能做的是缩小可被触发的路径：AnQiCMS 的 MCP 接口按意图域设置暴露范围，备份、升级、多站点这类全站级高危操作域默认关闭（DefaultOff），要显式开启才可用；系统层面的 SQL 注入与 XSS 防御走内置机制（JWT 认证、内容敏感词过滤、防采集干扰码属于这道防线），而不是靠每个开发者各自补。可被触发的路径少了，公告条数自然少。
常见问题
问：公告只标了等级没写触发条件，怎么估风险？ 答：等级之外优先找三个信息：是否需要认证、影响哪些版本、默认配置下是否启用相关功能；三处都缺时按等级下限保守处置，并等后续更新。
问：中级漏洞可以暂不处理吗？ 答：可以延后窗口，不建议取消处置。前提条件是概率折扣不是免疫，账号体系一旦有缺口，中级问题会被重新定价。
问：一天出多条公告说明系统不安全吗？ 答：条数反映披露机制的活跃度，不直接等于风险量。更有区分度的问法是：这些公告里有没有未授权可达的远程执行类问题，以及修复发布与公告之间隔了几天。