摘要

  • Woodman 预计 Erlang、Elixir 和 Gleam 生态在 2026 年的 CVE 记录超过 500 条，上一年约 10 条；RIPE 93 页面称增幅超过 50 倍。
  • 瓶颈从发现转向协调、修复和验证。Woodman 正试行按项目集中处理漏洞，并要求使用该生态的企业共同出资。

漏洞扫描器把问题标出来，代码却不会自己修好。维护者还得复现漏洞、改动程序、跑测试，再发布用户真正能安装的版本。Alistair Woodman 在 RIPE 93 的安全工作组谈到的，正是发现和修复之间这段最耗人的路。

他给出的对比是：去年约 10 条 CVE，2026 年年底可能超过 500 条。RIPE 93 的议程页也称，EEF 的 CVE 工作量增长超过 50 倍。Woodman 认为，许多问题并非新出现，而是过去没有被找到。这是 CVE 记录的数量变化，不等于新增漏洞数量，也不等于补丁发布数量。

他描述 CNA 的组织结构时说，团队有五位主要负责人，另有四位社区成员；维护虚拟机核心的 Ericsson 人员约有 15 人。大多数 CVE 案例处理和 AI 辅助研究由两人承担。CNA 可以协调披露、分配编号，真正改好某个包的仍是它的维护者。

为了少打断维护者，团队试着把同一个项目的多个发现放进一个预留时段一起处理。Woodman 把它称为正在试验的方法，没有拿出数据证明这种排期已经缩短修复时间。这个差别重要：集中交付一批报告，改变的是工作节奏；补丁能否更快发布，还得看维护者是否有时间。

EEF 的公开政策要求在两个工作日内确认并评估报告；对于已经公开披露的漏洞，政策目标是 24 小时内发布信息。Woodman 估计生态里有约 2 万个包、约 10 万名经常使用相关语言的人，以及至少 5,000 家已知企业。他在演讲结尾要求使用这些软件、却没有列入赞助名单的公司出钱支持这项工作。EEF 也公开招募财务赞助和志愿协调员。

来源