Un score CVSS élevé prédit-il qu’une vulnérabilité sera exploitée ?

La gravité technique et le risque d’une utilisation abusive réelle sont des questions différentes.

Non. Un score CVSS élevé signifie que les conséquences et conditions techniques sont sévères selon le vecteur choisi. Il n’existe pas de probabilité calibrée que la vulnérabilité soit exploitée dans un certain laps de temps. La recherche montre que donner la priorité uniquement aux seuils CVSS peut ne pas être très efficace (Jacobs et coll., 2020).

CVSS 4.0 peut inclure la maturité actuelle des exploits dans les mesures des menaces. Par exemple, EPSS peut être utilisé pour une estimation de probabilité ; les attaques confirmées et les informations exclusives sur les menaces sont également pertinentes. Ces sources ne remplacent pas non plus l’évaluation des risques locaux.