Un punteggio CVSS elevato prevede che una vulnerabilità verrà sfruttata?

No. Un punteggio CVSS elevato significa che le conseguenze e le condizioni tecniche sono gravi a seconda del vettore scelto. Non esiste una probabilità calibrata che la vulnerabilità venga sfruttata entro un certo periodo di tempo. La ricerca mostra che dare priorità esclusivamente alle soglie CVSS può essere inefficace (Jacobs et al., 2020).

CVSS 4.0 può includere l’attuale maturità dell’exploit nelle metriche delle minacce. Ad esempio, EPSS può essere utilizzato per una stima di probabilità; sono rilevanti anche gli attacchi confermati e le informazioni sulle minacce proprietarie. Inoltre, queste fonti non sostituiscono la valutazione del rischio locale.