用的摄像头固件早被曝出漏洞，厂商既不修补也不吭声；买的企业软件刚过维保期就「不再维护」——厂商能这么干吗？最近问「软件漏洞厂商有告知义务吗」的人不少，本文讲清规则。《中华人民共和国网络安全法》第二十四条，管的就是网络产品、服务的厂商。
先看这几个要点
关键结论
- ① 标准底线：网络产品、服务应当符合相关国家标准的强制性要求。
- ② 禁止恶意程序：不得设置恶意程序——后门、暗装模块都在禁列。
- ③ 漏洞响应三件套：发现安全缺陷、漏洞等风险时，立即补救＋按规定及时告知用户＋向主管部门报告。
- ④ 持续维护：在规定或约定期限内不得终止安全维护——「弃坑」有违法定义务。
- ⑤ 收集信息须明示同意：产品有收集用户信息功能的，应明示并取得同意。
- ⑥ 不履行的代价：按第六十二条处罚——警告起步，拒不改正或致危害后果罚五到五十万，主管人员另罚。
一、条文原文
法条依据
- 《中华人民共和国网络安全法》第二十四条
- 网络产品、服务应当符合相关国家标准的强制性要求。网络产品、服务的提供者不得设置恶意程序；发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
- 网络产品、服务的提供者应当为其产品、服务持续提供安全维护；在规定或者当事人约定的期限内，不得终止提供安全维护。
- 网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。
二、义务清单拆解
| 要件·义务 | 内容 | 实务把握 |
|---|---|---|
| 强制标准 | 符合国家标准强制性要求 | 采购时可要求厂商出具符合性证明 |
| 禁止恶意程序 | 不得设置后门、暗扣费、隐蔽收集模块 | 被曝光装后门的厂商直接落入处罚 |
| 漏洞响应 | 立即补救＋告知用户＋报告部门 | 「悄悄修掉不吭声」不满足告知义务 |
| 持续维护 | 期限内不得终止安全维护 | 停更前应依约通知，且期限内有义务继续修补 |
| 收集信息明示同意 | 明示收集功能并取得同意 | 与第四十三条衔接 |
「告知用户」的形式：公告、弹窗、推送、邮件均可，关键是触达存量用户并说明风险与对策；只在开发者日志里提一句不算。
「持续维护」的期限：看规定或约定——企业软件常约定维保期，消费级产品通常以产品合理生命周期为界；在期限内宣布「停止更新」的，用户可主张违约与行政责任并行。
三、被「弃坑」或被瞒的用户怎么办
第一步：固定证据——漏洞来源（CVE 编号、安全机构通报）、购买凭证、厂商停更公告。第二步：书面要求厂商履行修补与告知义务。第三步：因漏洞造成实际损失的（被入侵、被骗），依第七十六条主张民事赔偿；同时向网信、工信、市场监管部门举报其违反第二十四条。第四步：企业用户采购时，把「安全维护期限、漏洞响应时限」写进合同，事前锁定。
披露也要守规矩：发现漏洞之后对外发布信息，不能逾越法律边界——公布可复现的攻击方法、披露关键细节，可能被认定为危害网络安全的行为；对企业而言，正确顺序是先报厂商与主管部门，再谈公开。
边界：这条用不上的情形
不适用本条的情形：非网络产品、服务的普通商品缺陷（按产品质量法处理）；漏洞信息的社会发布（按第二十八条另受规范）；用户自己拒绝升级导致损害扩大部分的责任自担。
一句话总结：卖软件不能装后门、有漏洞必须立即修＋告诉你＋报部门、期限内不许弃坑——厂商三件事一件都不能少；被瞒着或被弃坑的用户，索赔与举报的依据都是现成的。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体纠纷请结合产品协议、漏洞通报与损害证据，咨询执业律师后主张。