CISA и ФСТЭК отказались от баллов CVSS при оценке уязвимостей

CISA, Евросоюз и ФСТЭК перешли на новый критерий приоритизации уязвимостей — признак активной эксплуатации вместо баллов CVSS. Анализ открытых данных CISA KEV, NVD, EPSS и БДУ ФСТЭК показал разброс в сроках появления этого признака: у одних вендоров информация об эксплуатации поступает в день выпуска патча, у других — с задержкой в три с половиной месяца.

Это означает, что единый критерий для определения срочности устранения уязвимостей работает неравномерно в зависимости от источника данных.