漏洞可利用性如何验证：把条件拆成可检查的问题

风险评分不能代替本地判断。应把“能否利用”拆成网络可达、功能启用、权限要求和触发路径等问题。

列出必要条件

从通告中提取攻击入口、认证要求、默认配置和前置权限。每个条件对应一条本地证据，例如监听端口、功能开关或访问策略。

区分未知与否定

没有找到证据不等于条件不存在。对日志不足、配置不可见或服务归属不明的项目，使用“待验证”状态，并指定负责人和截止时间。

暴露面检查可结合访问控制与隔离，处置顺序可参考补丁更新优先级。