漏洞被扫描出来后
，，，，常见的漏洞修复优先级排序一般以CVSS（即业内公开标准的“通用漏洞评分系统”）为准，，CVSS的优先级评分注重内在特征反映漏洞的严重性即基础分数
，，
，，包括可利用性指标、、、、利用范围、
、
、、被利用的影响。
。

但对于实际利用成熟度（是否在野被利用）、、组织环境的影响因素、
、威胁情报中体现的频次等等的衡量维度基本缺失，，，因此当漏洞数量大、、、且高危漏洞多时，，，修复优先级就成了一大困扰。。。

以Log4j2漏洞与Samba漏洞的评分对比为例：Log4j2漏洞评分为10
，，修复优先级极高，
，，，Samba漏洞评分为9.8，，
，，仅0.2分之差，，在修复优先级上两者应属同一梯队
。。
。

但结合漏洞情报信息来看
，，，Log4j2漏洞已被Lazarus,污水等APT组织以及LockBit
、、Tellyouthepass、、、
、Avoslocker,BitLocker、、、Conti、
、、、DiskCryptor
、、khonsari、、、、7locker和wizardspider等大量的病毒家族频繁使用，
，，并且被美国的网络与基础设施安全局（CISA）披露，，，，并要求其负责的各级政府和部门必须修复该漏洞，，而Samba漏洞暂未发现任何情报信息。。

当详细对比两个漏洞的真实利用可能性及暴露面时，
，Samba的利用难度也高出Log4j2很多。。
。

综合来看，，Samba漏洞的优先级显然不应该与Log4j2的漏洞处于同一梯队。。。。