Voorspelt een hoge CVSS-score dat een kwetsbaarheid wordt misbruikt?

Nee. Een hoge CVSS-score betekent dat de technische gevolgen en voorwaarden ernstig zijn volgens de gekozen vector. Het is geen gekalibreerde kans dat de kwetsbaarheid binnen een bepaalde periode wordt misbruikt. Onderzoek laat zien dat alleen prioriteren op CVSS-drempels daarvoor weinig doelmatig kan zijn (Jacobs e.a., 2020).

CVSS 4.0 kan actuele exploitvolwassenheid meenemen in de Threat Metrics. Voor een kansschatting kan daarnaast bijvoorbeeld EPSS worden gebruikt; bevestigde aanvallen en eigen dreigingsinformatie zijn eveneens relevant. Ook die bronnen vervangen de lokale risico-afweging niet.