Cybersicherheitsteams sind täglich mit unzähligen Schwachstellen konfrontiert. Es ist entscheidend herauszufinden, welche Bedrohungen zuerst angegangen werden müssen. Hier kommt das Common Vulnerability Scoring System (CVSS) ins Spiel. CVSS ist ein Risikobewertungssystem, das Schwachstellen einen numerischen Wert zuweist und Teams hilft, Risiken effektiv zu priorisieren. Mithilfe von Tools wie einem CVSS-Rechner und der Analyse der von CVSS bereitgestellten Informationen können Sicherheitsteams schneller und intelligenter vorgehen.cisionen, um sich auf die kritischsten Bedrohungen zu konzentrieren.
Für DevSecOps-Ingenieure und CISCVSS vereinfacht die Risikobewertung. Es hilft, sich auf die wichtigsten Schwachstellen zu konzentrieren. Mit CVSS können Teams Bedrohungen immer einen Schritt voraus sein und die Sicherheit erhöhen.
Ohne fundierte Kenntnisse zu CVSS ein Risiko-Score und seine Metriken
Das Common Vulnerability Scoring System (CVSS, ein Rahmenwerk zur Risikobewertung) bietet eine weltweit anerkannte standard zur Bewertung von Software-Schwachstellen. ZUERST (Forum of Incident Response and Security Teams) entwickelte CVSS, um eine strukturierte Methode zur Risikomessung zu schaffen. Wie FIRST in seinem offiziellen Spezifikationsdokument erklärt, bietet das System Organisationen standardisierte Erkenntnisse, die ihnen dabei helfen, Schwachstellen effektiv zu priorisieren und schnell zu reagieren.
Ab 2026 werden die meisten ausgereiften Sicherheitsprogramme von CVSS v3.1 auf CVSS v4.0 umgestellt. Diese Revision verändert grundlegend, wie Sicherheitsverteidiger die Schwere und Priorität von Sicherheitslücken einschätzen. Der Übergang ist jedoch kein einfaches Upgrade: Das NVD veröffentlicht zwar CVSS-4.0-Bewertungen neben den CVSS-3.1-Bewertungen für neu gemeldete CVEs, eine nachträgliche Neubewertung der gesamten historischen Datenbank ist aber nicht geplant. Das bedeutet, dass ältere CVEs ihre CVSS-3.1-Bewertungen weiterhin als primäre Referenz behalten. Wenn Sie 2026 ein Schwachstellenmanagementprogramm erstellen oder aktualisieren, müssen Sie damit rechnen, in absehbarer Zeit mit beiden Versionen parallel zu arbeiten.
Darüber hinaus bietet CVSS eine umfassende Bewertung von Softwareschwachstellen mithilfe eines systematischen Bewertungsmechanismus. Es vergibt Punkte von 0 bis 10, wobei höhere Punktzahlen auf kritischere Schwachstellen hinweisen.
Welche Informationen liefert CVSS für das Risikomanagement?
Das Common Vulnerability Scoring System (CVSS) bietet einen strukturierten Rahmen zur Bewertung der Schwere und Auswirkung von Schwachstellen. Durch die Aufschlüsselung der Art und der Auswirkungen von Sicherheitsmängeln hilft CVSS Unternehmen bei der Priorisierung von Behebungsmaßnahmen. Das System bietet wichtige Kennzahlen in drei Hauptdimensionen:
Basismetriken: Diese messen die intrinsischen Merkmale einer Schwachstelle, die sich im Laufe der Zeit oder in verschiedenen Umgebungen nicht ändern. Zu den wichtigsten Details gehören:
- Angriffsvektor (AV): Wie die Sicherheitslücke ausgenutzt werden kann (z. B. remote oder lokal).
- Angriffskomplexität (AC): Die Schwierigkeit, die Schwachstelle auszunutzen.
- Erforderliche Berechtigungen (PR): Die zum Ausnutzen der Sicherheitslücke erforderliche Zugriffsebene.
- Auswirkungen : Bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Zeitliche Metriken: Diese Kennzahlen bewerten die Anfälligkeit im Zuge der Entwicklung der Bedingungen, beispielsweise:
- Code-Reife ausnutzen: Ob Exploit-Code öffentlich verfügbar ist.
- Sanierungsstufe: Verfügbarkeit von Fixes oder Workarounds.
- Vertrauen melden: Die Glaubwürdigkeit der gemeldeten Informationen.
Umweltkennzahlen: Diese passen den Score an den spezifischen Kontext einer Organisation an und spiegeln die einzigartigen geschäftlichen Auswirkungen einer Schwachstelle wider. Zu den wichtigsten Faktoren gehören:
- Modifizierte Wirkungsmetriken: Angepasst basierend auf der Kritikalität bestimmter Systeme.
- Sicherheitsanforderungen: Bedeutung von Vertraulichkeit, Integrität und Verfügbarkeit in einer bestimmten Umgebung.
Diese Informationen liefern Cybersicherheitsteams umsetzbare Erkenntnisse, um Schwachstellen im Detail zu verstehen und so die Priorisierung zu beschleunigen.cise. Durch den Einsatz von Tools wie einem CVSS-Rechner können Teams diese Kennzahlen in maßgeschneiderte Bewertungen umsetzen, die den Risikoschwellenwerten des Unternehmens entsprechen.
Verwenden des CVSS-Rechners zur Priorisierung von Bedrohungen
Der CVSS-Rechner hilft dabei, CVSS-Werte in umsetzbare Erkenntnisse umzuwandeln. Sicherheitsteams fügen spezifische Schwachstellendetails hinzu, um Risikowerte zu berechnen, die zu ihren Umgebungen passen. Dieser Prozess stellt sicher, dass sie auf der Grundlage realer Bedingungen und nicht theoretischer Szenarien priorisieren.
Mit dem CVSS-Rechner können Teams beispielsweise untersuchen Welche Informationen liefert CVSS?, wie Ausnutzbarkeit, potenzielle Auswirkungen und wie verschiedene mildernde Faktoren das Risikoniveau beeinflussen. Tools wie die National Vulnerability Database CVSS v4-Rechner Vereinfachen Sie diesen Prozess und helfen Sie Sicherheitsexperten, Schwachstellen effektiver zu analysieren.
Dieser maßgeschneiderte Ansatz ermöglicht es Unternehmen, sich auf die Schwachstellen zu konzentrieren, die die größten Risiken für kritische Systeme darstellen. Wie bereits erläutert, nutzen Teams Tools wie den CVSS-Rechner, um CVSS, ein Risikobewertungsrahmen, detaillierter zu untersuchen. Darüber hinaus verbindet er technische Bewertungen mit strategischen Planungen.cisionen, die es DevSecOps-Ingenieuren und CISOs, um Ressourcen dorthin zu lenken, wo sie am dringendsten benötigt werden.
Darüber hinaus verbessert die Kombination des CVSS-Rechners mit anderen Tools die Teamkommunikation. Dieser Ansatz stellt sicher, dass Teams Prozesse klären und Schwachstellen effizient verwalten. Durch die effektive Anwendung von CVSS-Informationen stärken und erhalten Unternehmen eine zuverlässigere Sicherheitslage.
Möchten Sie mehr darüber erfahren, wie Sie Bedrohungen in Echtzeit einen Schritt voraus sein können?
Laden Sie unser Whitepaper „Frühwarnung: Bedrohungserkennung und -priorisierung in Echtzeit“ herunter und erfahren Sie, wie Sie Ihre Software-Lieferkette schützen können.
Hauptvorteile von CVSS einen Risiko-Score
CVSS, ein Risikobewertungsrahmen, dient nicht nur der Zuweisung von Zahlen zu Schwachstellen. Es bietet aussagekräftige Erkenntnisse, die DevSecOps-Teams und CISOs machen besser decisionen, indem Sie untersuchen, welche Informationen CVSS liefert, und diese für intelligentere Sicherheitsstrategien nutzen.
Bietet eine konsistente Risikobewertung mit CVSS und einem Risiko-Score
Zunächst verwendet CVSS eine standardDie integrierte Bewertungsmethode erleichtert Teams die konsistente Bewertung von Schwachstellen. Dieser einheitliche Ansatz reduziert Verwirrung und hilft allen Teammitgliedern, mit dem gleichen Risikoverständnis zu arbeiten. Dadurch können Unternehmen ihre Bemühungen bündeln und sich ohne Zeitverlust auf die kritischsten Probleme konzentrieren.
Ermöglicht besseres DesigncisIonenherstellung
Darüber hinaus liefert CVSS, wie bereits erwähnt, detaillierte Einblicke, indem es Schwachstellen in Basis-, Zeit- und Umgebungsmetriken aufschlüsselt. Diese Erkenntnisse gehen über die bloße Identifizierung des Schweregrads einer Bedrohung hinaus. Sie zeigen auch, wie wahrscheinlich es ist, dass die Schwachstelle ausgenutzt wird. Mit diesen Informationen können Teams schnellere Lösungen finden.cisionen und konzentrieren ihre Ressourcen auf die Bewältigung der dringendsten Risiken.
Verbessert die Kommunikation zwischen Teams
Darüber hinaus erleichtert das numerische Bewertungssystem CVSS die Erklärung von Schwachstellen. Sicherheitsteams können einfache Kennzahlen nutzen, um auch nicht-technischen Stakeholdern wie Führungskräften oder Managern das Verständnis von Risiken zu erleichtern. Dieses gemeinsame Verständnis führt zu einer besseren Zusammenarbeit, schnellerencisIonenerzeugung und wirksamere Reaktionen auf Bedrohungen.
Funktioniert nahtlos mit erweiterten Tools
Ein weiterer Vorteil von CVSS ist die gute Integration mit anderen Cybersicherheitstools. Plattformen wie Xygeni beispielsweise verbessern CVSS, indem sie Echtzeit-Analysen zur Ausnutzbarkeit und Laufzeitkontext hinzufügen. Diese Integrationen helfen bei der Verfeinerung der Priorisierung, sodass sich Teams noch einfacher auf die wichtigsten Schwachstellen konzentrieren können.
Passt sich der Branche an Standards
Schließlich richtet sich CVSS nach globalen standards und wird von Organisationen weltweit eingesetzt. Diese weite Verbreitung erleichtert Unternehmen die Einhaltung branchenüblicher Best Practices und gesetzlicher Anforderungen. Aufgrund der hohen Verbreitung von CVSS können Sicherheitsteams darauf als zuverlässiges Tool zur Verwaltung und Priorisierung von Schwachstellen vertrauen.
Einschränkungen von CVSS einen Risiko-Score
Obwohl CVSS ein hilfreiches Tool zur Bewertung von Schwachstellen ist, weist es einige wichtige Einschränkungen auf, die Sicherheitsteams berücksichtigen müssen, um seine Nutzung zu verbessern.
Statisches Scoring hat Grenzen
Erstens basiert CVSS auf einer statischen Bewertung, d. h. die Bewertung einer Schwachstelle ändert sich nicht, selbst wenn neue Bedrohungen auftreten. Dies kann dazu führen, dass sich Teams zu sehr auf Probleme mit geringem Risiko konzentrieren oder aktive Bedrohungen ignorieren, was zu Zeit- und Arbeitsverschwendung führt.
Keine Updates für sich ändernde Bedrohungen
Zweitens passt sich CVSS nicht an sich schnell ändernde Bedrohungen an. Eine Schwachstelle kann beispielsweise gefährlicher werden, wenn Hacker einen öffentlichen Exploit veröffentlichen oder ein wichtiges System offengelegt wird. Ohne Echtzeit-Updates können Teams dringende Bedrohungen übersehen.
Fehlende Daten zur Ausnutzbarkeit
Darüber hinaus misst CVSS, wie schwerwiegend eine Schwachstelle ist, zeigt aber nicht, wie wahrscheinlich es ist, dass sie ausgenutzt wird. Tools wie EPSS können helfen, indem sie die Ausnutzungswahrscheinlichkeit vorhersagen. Beispielsweise erfordert ein hoher CVSS-Score möglicherweise keine sofortigen Maßnahmen, wenn die Ausnutzbarkeit gering ist, aber ein mäßiger Score mit hoher Ausnutzbarkeit könnte sofortige Aufmerksamkeit erfordern.
Begrenzte Anpassung der Umgebung
Obwohl CVSS einige Anpassungen basierend auf der Konfiguration einer Organisation zulässt, werden diese Anpassungen häufig übersprungen oder falsch verwendet. Dies kann zu Bewertungen führen, die die Risiken nicht vollständig widerspiegeln, z. B. die Risiken in öffentlich zugänglichen Systemen, die stärker gefährdet sind als interne Tools.
Die Inflation der Schweregrade ist ein wachsendes Problem
Diese Einschränkung ist nicht theoretischer Natur. Im Jahr 2025 8.3 % aller CVEs wurden als kritisch eingestuft 31.1 % erreichten die Bewertung „Hoch“. Wenn fast 40 % aller veröffentlichten Schwachstellen mit „Hoch“ oder „Kritisch“ gekennzeichnet sind, verlieren diese Kategorien ihre Aussagekraft hinsichtlich der Unterscheidung zwischen realem und routinemäßigem Risiko. Genau deshalb kann CVSS allein die Priorisierung nicht mehr gewährleisten.
Durch das Hinzufügen von Tools wie EPSS und Echtzeitüberwachung können Teams diese Lücken schließen und sich besser auf die wichtigsten Schwachstellen konzentrieren.
Überwindung von Einschränkungen durch komplementäre Ansätze
Um diese Einschränkungen zu beheben, sollten Unternehmen CVSS mit anderen Tools und Metriken kombinieren, die dynamischen Kontext und Einblicke in die Ausnutzbarkeit bieten. Zum Beispiel:
- EPSS-Integration: Erweitern Sie CVSS mit EPSS, um die Wahrscheinlichkeit einer Ausnutzung zu berücksichtigen und sicherzustellen, dass Schwachstellen Priorität haben, die eine tatsächliche, unmittelbare Bedrohung darstellen.
- Erreichbarkeitsanalyse: Verwenden Sie Tools, um zu ermitteln, ob in Ihrer spezifischen Umgebung eine Schwachstelle zugänglich ist, und reduzieren Sie so den Fokus auf unerreichbare Risiken.
- Laufzeitkontext: Nutzen Sie die Echtzeitüberwachung, um zu beurteilen, ob Schwachstellen aktiv ausgenutzt werden oder Live-Systeme beeinträchtigen.
- KEV-Integration: Querverweis auf Schwachstellen CISDer Katalog bekannter ausgenutzter Schwachstellen (KEV) von A. Im Jahr 2025 wurden 884 Schwachstellen in KEV aufgenommen, von denen 28.96 % bereits am Tag ihrer Veröffentlichung oder davor ausgenutzt wurden. Im Gegensatz zur Vorhersagewahrscheinlichkeit von EPSS bestätigt KEV die tatsächliche Beobachtung einer Ausnutzung und ist somit eines der stärksten nicht-theoretischen Signale für die Priorisierung.
Durch die Beseitigung dieser Einschränkungen und die Integration von CVSS mit zusätzlichen Tools können Sicherheitsteams fundiertere Entscheidungen treffen.cisionen und stellen sicher, dass ihre Bemühungen auf die Schwachstellen konzentriert sind, die am wichtigsten sind.
CVSS und der EU Cyber Resilience Act (CRA)
Die CVSS-Bewertung wird bald nicht mehr nur für interne Priorisierungen relevant sein. EU-Gesetz zur Cyberresilienz (Verordnung (EU)) Gemäß Verordnung (EU) 2024/2847 sind Hersteller verpflichtet, Schwachstellen zu priorisieren, diese zeitnah zu beheben und deren aktive Ausnutzung zu melden, sobald sie davon Kenntnis erlangen. Zwei Termine sind hierbei von Bedeutung: Die Meldepflicht für aktiv ausgenutzte Schwachstellen (Artikel 14) gilt ab dem 11. September 2026, während die weitergehenden Pflichten zur Behandlung, Behebung und Offenlegung von Schwachstellen (Artikel 13 und Anhang I) ab dem 11. Dezember 2027 gelten.
Eine wichtige Klarstellung: Die CRA schreibt weder CVSS, EPSS, KEV noch ein anderes spezifisches Bewertungssystem vor. Sie fordert zwar eine zeitnahe Behebung, überlässt die operative Messung jedoch den einzelnen Herstellern. Allerdings löst ein CVSS- oder EPSS-Wert allein nicht die 24-Stunden-Meldefrist aus; dies geschieht erst, wenn nachweislich eine Schwachstelle aktiv gegen ein reales Zielsystem ausgenutzt wird. In der Praxis bedeutet dies, dass Unternehmen, die Software in der EU vertreiben, einen dokumentierten, konsistenten Bewertungs- und Erkennungsprozess benötigen, der zuverlässig zwischen „theoretisch schwerwiegend“ und „aktiv ausgenutzt“ unterscheiden kann – genau die Lücke, die CVSS allein lässt.
Wenn Sie in der EU Software oder Hardware mit digitalen Elementen verkaufen, ist jetzt der richtige Zeitpunkt, Ihr CVSS-, EPSS- und KEV-Score zu erstellen (oder zu überprüfen). pipeline, also weit vor dem Stichtag im September 2026.
Wie Xygeni CVSS als Rahmenwerk für Risikobewertungen verbessert
CVSS ist ein Rahmenwerk zur Risikobewertung und bietet einen hervorragenden Ausgangspunkt für die Bewertung von Schwachstellen. Xygeni optimiert dies durch intelligente Einblicke, bessere Priorisierung und Automatisierung. Diese Tools helfen Sicherheitsteams, sich auf die wichtigsten Bedrohungen zu konzentrieren und unnötige, ermüdende Warnmeldungen zu reduzieren. Teams können die Informationen von CVSS nutzen, um schnellere und fundiertere Entscheidungen zu treffen.cisIonen.
Xygeni kombiniert CVSS mit realen Daten, beispielsweise wie wahrscheinlich es ist, dass Schwachstellen ausgenutzt werden und was in Echtzeit passiert. Dieser Ansatz erleichtert es Teams, Prioritäten zu setzen und schnell auf reale Bedrohungen zu reagieren.
- Erreichbarkeitsanalyse: Xygeni erkennt, ob eine Schwachstelle in Ihrer Umgebung aktiv ausgenutzt werden kann. Dadurch wird sichergestellt, dass sich die Sicherheitsbemühungen auf Bedrohungen mit echten Auswirkungen konzentrieren.
- EPSS- und CVSS-Integration: Durch die Kombination von Ausnutzbarkeitsdaten mit CVSS-Erkenntnissen ermöglicht Xygeni intelligenterecisIonen. Wie beispielsweise in Xygenis CVE-Scoring-Breakdown-Blog, sorgt diese Integration für eine genauere Priorisierung.
- Analyse der Geschäftsauswirkungen: Xygeni kennzeichnet Schwachstellen, die kritische Ressourcen betreffen, um Sicherheitsprioritäten mit Geschäftszielen in Einklang zu bringen. So können Teams ihre Behebungsbemühungen auf das konzentrieren, was für das Unternehmen am wichtigsten ist.
- Einblicke in die Laufzeit: Xygeni fügt Echtzeitkontext hinzu, wie z. B. aktive Ausbeutungen, wodurch die Priorisierung umsetzbarer und präventiver wirdcise.
- Automatisierte Behebung: Xygeni automatisiert das Patchen von Schwachstellen, sobald es diese erkennt. Dieser Prozess reduziert die manuelle Arbeit, beschleunigt die Reaktionen und ermöglicht es Entwicklern, sich ohne Unterbrechungen auf ihre Codierung zu konzentrieren.
Xygeni kombiniert CVSS mit Tools wie EPSS und nutzt Automatisierung, um das Schwachstellenmanagement zu vereinfachen. Dadurch unterstützt dieser klare und zielgerichtete Ansatz DevSecOps-Ingenieure und CISKonzentrieren Sie sich auf kritische Aufgaben, reduzieren Sie Risiken und stärken Sie die Sicherheit.
Darüber hinaus verbessert Xygeni die Teamkommunikation, indem es klare Arbeitsabläufe und umsetzbare Erkenntnisse bietet. Zusammen helfen diese Funktionen Unternehmen dabei, stärkere Sicherheitssysteme aufzubauen und neuen Bedrohungen einen Schritt voraus zu sein.
Da die Berichtspflichten gemäß dem EU-Cyberresilience-Act im September 2026 in Kraft treten, ist ein dokumentierter, automatisierter Priorisierungsprozess auf Basis von CVSS und EPSS nicht mehr nur eine bewährte Methode, sondern eine zwingende Voraussetzung für die Einhaltung der Vorschriften. Der Ansatz von Xygeni, CVSS mit EPSS und Erreichbarkeitskontext zu kombinieren, unterstützt Teams dabei, genau solch einen rechtssicheren und auditfähigen Prozess rechtzeitig vor Ablauf der Frist zu entwickeln.
Übernehmen Sie noch heute die Kontrolle über Ihr Schwachstellenmanagement
Lassen Sie nicht zu, dass Schwachstellen Ihre Systeme ausbremsen oder gefährden. Nutzen Sie stattdessen die fortschrittlichen Tools von Xygeni, um die Art und Weise, wie Sie Bedrohungen verwalten und priorisieren, komplett umzugestalten. Durch die nahtlose Kombination der Leistungsfähigkeit von CVSS mit dynamischen Einblicken wie Ausnutzbarkeit und Erreichbarkeit ermöglicht Xygeni Ihrem Team, sich auf das Wesentliche zu konzentrieren.
Bereit für den nächsten Schritt? Entdecken Sie die Schwachstellenmanagement-Lösungen von Xygeni und erfahren Sie, wie wir Ihnen helfen können, neuen Bedrohungen immer einen Schritt voraus zu sein. Fordern Sie noch heute eine Demo an um die Zukunft der Cybersicherheit aus erster Hand zu erleben.
Häufig gestellte Fragen
Worin besteht der Unterschied zwischen CVSS v3.1 und CVSS v4.0?
CVSS v4.0 führt eine neue Nomenklatur ein, um die Basis- (CVSS-B), Basis+Bedrohungs- (CVSS-BT), Basis+Umwelt- (CVSS-BE) und Basis+Bedrohungs-+Umwelt- (CVSS-BTE) Bewertungen zu unterscheiden. Die bisherige Metrikgruppe „Zeit“ wird durch die aussagekräftigere Bedrohungsgruppe ersetzt. Zusätzlich wird eine optionale ergänzende Metrikgruppe für externe Kontextinformationen wie Sicherheitsauswirkungen und Automatisierbarkeit eingeführt. Ziel ist es, die Mehrdeutigkeit zu reduzieren, die dazu führte, dass die zeitlichen Metriken von CVSS v3.1 in der Praxis kaum Anwendung fanden.
Muss ich meinen bestehenden Sicherheitslücken-Backlog gemäß CVSS v4.0 neu bewerten?
Nein. Eine nachträgliche Neubewertung der gesamten NVD-Datenbank gemäß CVSS v4.0 ist nicht geplant, und ältere CVEs behalten ihre CVSS v3.1-Bewertungen als primäre Referenz. Sicherheitsteams sollten zukünftig für neu veröffentlichte CVEs die CVSS v4.0-Bewertungen verwenden, ohne die bisherige Priorisierung erneut zu prüfen.cisIonen.
Warum erhalten so viele CVEs die Bewertung „Kritisch“ oder „Hoch“?
Im Jahr 2025 wurden 8.3 % der CVEs als kritisch und 31.1 % als hoch eingestuft, was bedeutet, dass fast 40 % aller bekannt gewordenen Schwachstellen eine höchste Schweregradbezeichnung tragen. Diese „Schweregradinflation“ ist ein bekanntes Problem.cisGenau deshalb ist CVSS allein kein ausreichendes Priorisierungsinstrument: Es kann nicht zwischen einem theoretisch schwerwiegenden, aber unerreichbaren Fehler und einem Fehler unterscheiden, der aktiv ausgenutzt wird.
Was ist KEV und wie unterscheidet es sich von EPSS?
KEV (Bekannte ausgenutzte Schwachstellen), gepflegt von CISKEV A listet Schwachstellen auf, deren aktive Ausnutzung in freier Wildbahn bestätigt ist. EPSS hingegen ist ein probabilistisches Modell, das die Wahrscheinlichkeit schätzt, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird. 2025 wurden 884 Schwachstellen zu KEV hinzugefügt, von denen fast 29 % bereits vor der öffentlichen Bekanntgabe aktiv ausgenutzt wurden. Die kombinierte Verwendung von KEV und EPSS liefert sowohl ein Signal für bestätigte Bedrohungen als auch eine Prognose für zukünftige Entwicklungen.
Reicht CVSS allein für die Priorisierung von Sicherheitslücken aus?
Nein. Empirische Untersuchungen zeigen übereinstimmend, dass die meisten Schwachstellen, die von CVSS als „hoch“ oder „kritisch“ eingestuft werden, tatsächlich nie ausgenutzt werden. Ein reiner CVSS-Ansatz verschwendet Entwicklungszeit für theoretische Risiken, während tatsächlich ausgenutzte Schwachstellen unentdeckt bleiben. Die Kombination von CVSS mit EPSS, KEV und Erreichbarkeitsanalyse ist der aktuell von der Branche empfohlene Ansatz.
