Uma pontuação alta no CVSS prevê que uma vulnerabilidade será explorada?

Não. Uma pontuação elevada no CVSS significa que as consequências e condições técnicas são graves de acordo com o vetor escolhido. Não existe uma probabilidade calibrada de que a vulnerabilidade seja explorada dentro de um determinado período de tempo. A pesquisa mostra que priorizar apenas os limites do CVSS pode não ser muito eficaz (Jacobs et al., 2020).

O CVSS 4.0 pode incluir a maturidade atual da exploração nas Métricas de Ameaças. Por exemplo, EPSS pode ser usado para uma estimativa de probabilidade; ataques confirmados e informações proprietárias sobre ameaças também são relevantes. Estas fontes também não substituem a avaliação de risco local.