Czy wysoki wynik CVSS pozwala przewidzieć, że luka zostanie wykorzystana?

Powaga techniczna i ryzyko faktycznego niewłaściwego użycia to różne kwestie.

Nie. Wysoki wynik CVSS oznacza, że konsekwencje techniczne i warunki są poważne w zależności od wybranego wektora. Nie istnieje skalibrowane prawdopodobieństwo, że luka zostanie wykorzystana w określonym czasie. Badania pokazują, że ustalanie priorytetów wyłącznie na podstawie progów CVSS może być nieskuteczne (Jacobs i in., 2020).

CVSS 4.0 może uwzględniać aktualny poziom dojrzałości exploitów w metrykach zagrożeń. Na przykład EPSS można wykorzystać do oszacowania prawdopodobieństwa; istotne są również potwierdzone ataki i zastrzeżone informacje o zagrożeniach. Źródła te nie zastępują również lokalnej oceny ryzyka.