Müssen Sie zunächst feststellen, ob eine Schwachstelle vorliegt?

Ja. Ein Scannertreffer oder eine entsprechende Versionsnummer beweist nicht, dass der anfällige Code vorhanden, zugänglich oder ausführbar ist. Überprüfen Sie daher zunächst die verwendete Komponente und Version, Konfiguration, Anrufroute und eventuelle Maßnahmen. Eine Quellcoderecherche, ein SBOM, VEX, Konfigurationsanalyse und dynamische Tests können hierfür entsprechende Belege liefern.

Scheint das Produkt nicht betroffen zu sein, dokumentieren Sie die Nichtanwendbarkeit durch Nachweise. Weisen Sie einer Schwachstelle, die nicht zutrifft, nicht künstlich einen niedrigen CVSS-Score zu. FIRST beschreibt in die CVSS 4.0 FAQ außerdem, dass ein Lieferant die Bewertung für das konkrete Produkt neu bewerten sollte und VEX verwenden kann, um die Anwendbarkeit zu kommunizieren.