漏洞被扫描出来后，，，
，常见的漏洞修复优先级排序一般以CVSS（即业内公开标准的“通用漏洞评分系统”）为准，，，，CVSS的优先级评分注重内在特征反映漏洞的严重性即基础分数，，，，包括可利用性指标
、、利用范围、、被利用的影响。
。
。。

但对于实际利用成熟度（是否在野被利用）、
、、、组织环境的影响因素、
、、、威胁情报中体现的频次等等的衡量维度基本缺失
，，因此当漏洞数量大
、、、且高危漏洞多时，，，
，修复优先级就成了一大困扰。。。。

以Log4j2漏洞与Samba漏洞的评分对比为例
：Log4j2漏洞评分为10，，修复优先级极高，，Samba漏洞评分为9.8，，，，仅0.2分之差，，，，在修复优先级上两者应属同一梯队。
。。。

但结合漏洞情报信息来看，，，，Log4j2漏洞已被Lazarus,污水等APT组织以及LockBit、、
、、Tellyouthepass、、、Avoslocker,BitLocker、、、Conti
、、DiskCryptor、、、khonsari、、7locker和wizardspider等大量的病毒家族频繁使用，，，并且被美国的网络与基础设施安全局（CISA）披露，
，并要求其负责的各级政府和部门必须修复该漏洞，，而Samba漏洞暂未发现任何情报信息。。。
。

当详细对比两个漏洞的真实利用可能性及暴露面时
，，Samba的利用难度也高出Log4j2很多。
。

综合来看，
，Samba漏洞的优先级显然不应该与Log4j2的漏洞处于同一梯队。。。。