¿Una puntuación CVSS alta predice que se explotará una vulnerabilidad?

No. Una puntuación CVSS alta significa que las consecuencias y condiciones técnicas son severas según el vector elegido. No existe una probabilidad calibrada de que la vulnerabilidad sea explotada dentro de un período de tiempo determinado. Las investigaciones muestran que priorizar únicamente los umbrales CVSS puede resultar ineficaz (Jacobs y otros, 2020).

CVSS 4.0 puede incluir la madurez del exploit actual en las Métricas de amenazas. Por ejemplo, EPS se puede utilizar para una estimación de probabilidad; Los ataques confirmados y la información patentada sobre amenazas también son relevantes. Estas fuentes tampoco reemplazan la evaluación de riesgos local.