HeroDevs 推出 Evergreen，用于全应用范围的 CVE 修复

2026年11月5日，犹他州桑迪市——作为应用层CVE修复和商业开源支持领域的领导者，HeroDevs今日正式发布了Evergreen。 此次发布正值前沿AI模型使漏洞发现变得快速且低成本，导致CVE数量激增，超出了工程团队的处理能力。Evergreen可持续跟踪整个应用程序中开源依赖项的健康状况。当某个依赖项出现CVE漏洞且上游已不再提供修复程序时，Evergreen会自动提供一个无CVE漏洞的即插即用替代方案，并附带14天的服务水平协议（SLA），该方案适用于组织使用Java、JavaScript或.NET 构建的每一款应用程序。 

大多数 CVE 问题都会通过版本升级得到解决。 那些长期未解决且耗费最多工程资源的 CVE，往往存在于已不再获得上游修复的版本中。要关闭这些 CVE，需要进行重大升级，或者编写并维护内部补丁，这会使工程师无法专注于产品路线图。这一挑战是结构性的，而非暂时的：Sonatype 的《2026 年软件供应链现状报告》发现，已有超过 81,000 个开源包版本携带已知的 CVE，且没有上游修复路径。 借助 Evergreen，工程团队无需进行重大升级即可修复 CVE：一个不含 CVE、可直接替换的版本会自动以拉取请求的形式出现在团队现有的工作流中。HeroDevs 会修复所有已不再获得上游修复的依赖项中的 CVE。当出现新的 CVE 时，HeroDevs 会持续为该直接替换版本打补丁，从而确保工程团队在整个应用程序中都能保持安全。

对于应用安全（AppSec）和合规团队而言，如果某个版本的 CVE 已无法获得上游修复程序，该问题将一直保持为未解决状态。每个未解决的问题都是生产环境中持续存在的风险，应用安全团队需对此负责，却无法仅凭自身力量将其关闭。安全扫描工具会持续报告 CVE，而 Evergreen 与这些工具协同工作，追踪哪些问题存在于已不再受支持的版本中，并提供替代方案以解决每个问题。 每项修复措施均附带一份 VEX 声明和一份法律证明，这些证据可供应用安全与合规团队在 FedRAMP、PCI、SOC 2、HIPAA、CRA 等框架的审计中向审计员提交。 

“人工智能让漏洞检测变得快速且低成本，但我们仍然看到，漏洞修复工作仍是一条一条地按CVE进行，”HeroDevs首席执行官亚伦·米切尔（Aaron Mitchell）表示。“当CVE的出现速度还在团队能够跟上的范围内时，这种方法是行得通的。如今每天新增的CVE超过260个，单独处理每个CVE都意味着又一个新项目，会将工程师从既定路线图中抽调出来。我们基于一个新理念构建了Evergreen：客户应该能够保障整个应用程序的安全，而不仅仅是逐个修复CVE。对于工程团队来说，过去需要作为新项目处理的工作，现在只需提交一个待审核和合并的拉取请求即可。”

包括《财富》100强企业中半数在内的1,000多家组织，已依赖HeroDevs来修复其应用程序所依赖的开源库中的CVE漏洞。今日正式发布的Evergreen，将这种CVE修复能力从单个库扩展到了整个应用程序依赖树。 每项修复方案均经过开源维护者的审查和测试，其中包括广泛使用的框架的原始维护者。 几乎所有应用程序都在运行已不再获得上游修复的开源软件，借助 Evergreen，团队可以在自己选择的时候迁移出这些开源软件，而不是被迫在 CVE 问题出现时才进行迁移。工程和安全团队可以先获取一份关于应用程序开源依赖关系的免费风险报告。 

Evergreen 现已正式发布。观看此视频，了解更多关于 Evergreen 的信息，或联系我们预约演示。  

‍

关于HeroDevs

HeroDevs 是确保企业所依赖的开源依赖项始终安全且持续获得支持的行业领导者。HeroDevs 为AngularJS 、Spring 和.NET 等开源库构建了无 CVE 漏洞、可直接替换的替代方案，从而使企业能够按照自身计划进行迁移，同时免受漏洞威胁并满足合规要求。