Sagt ein hoher CVSS-Score voraus, dass eine Schwachstelle ausgenutzt wird?

Technische Ernsthaftigkeit und das Risiko eines tatsächlichen Missbrauchs sind unterschiedliche Fragen.

Nein. Ein hoher CVSS-Score bedeutet, dass die technischen Folgen und Bedingungen je nach gewähltem Vektor schwerwiegend sind. Es besteht keine kalibrierte Wahrscheinlichkeit, dass die Schwachstelle innerhalb eines bestimmten Zeitraums ausgenutzt wird. Untersuchungen zeigen, dass eine ausschließliche Priorisierung anhand von CVSS-Schwellenwerten möglicherweise nicht sehr effektiv ist (Jacobs et al., 2020).

CVSS 4.0 kann die aktuelle Exploit-Reife in die Bedrohungsmetriken einbeziehen. Beispielsweise kann EPSS für eine Wahrscheinlichkeitsschätzung verwendet werden; Bestätigte Angriffe und proprietäre Bedrohungsinformationen sind ebenfalls relevant. Diese Quellen ersetzen auch nicht die lokale Risikobewertung.