Что показывает CVSS

Base-метрики описывают присущие уязвимости характеристики: способ атаки, требования, взаимодействие пользователя и влияние на системы. Оценка выражается числом от 0.0 до 10.0 и может сопоставляться с качественной шкалой. Вектор нужен, чтобы понять, какие значения привели к оценке.

В CVSS v4.0 есть дополнительные группы Threat и Environmental. Threat учитывает изменяющиеся сведения, например зрелость эксплойта; Environmental отражает особенности организации и меры защиты. Supplemental-метрики добавляют контекст, но сами по себе не меняют итоговый числовой score.

Severity - не то же самое, что риск

FIRST отдельно предупреждает, что Base Score измеряет серьезность, а не риск для конкретной компании. Один и тот же CVSS может иметь разный приоритет в зависимости от доступности системы, ее роли, сетевой экспозиции, наличия mitigations и факта эксплуатации.

Для сортировки задач используйте данные производителя и собственный контекст. Не сравнивайте оценки разных версий, будто формула и метрики неизменны. Всегда сохраняйте версию CVSS и vector string вместе с числом.

В CVSS v4.0 применяют nomenclature CVSS-B, CVSS-BT, CVSS-BE и CVSS-BTE, чтобы показать, какие группы метрик учтены. Одинаковое число не заменяет вектор.

В векторе отмечают, какие группы учтены: Base, Threat и Environmental. Одинаковое число может скрывать разные условия, поэтому сохраняйте строку целиком и смотрите на метрики.

Как читать CVSS-запись

Проверьте, указано ли CVSS-B, CVSS-BT, CVSS-BE или CVSS-BTE, и к какой версии относится вектор. Если в записи есть только Base, не делайте вывод, что учтены ваши меры защиты или текущая активность угрозы.

Свяжите CVSS с CVE, активами и процессом установки обновлений; оценка сама не исправляет систему. Использованы спецификация и User Guide FIRST CVSS v4.0, проверенные 8 октября 2026 года; уязвимости и оценки не анализировались.