2026-09-04
Qual CVE corrigir primeiro: o que CVSS, EPSS e KEV realmente medem
CVSS é gravidade, EPSS é probabilidade de exploração e KEV é exploração confirmada. Um não substitui o outro. Nossos dados das 1.695 entradas do KEV: 64% estão abaixo de CVSS 9 e 24% abaixo de EPSS 0,1 — tanto «corrigir só as notas altas» quanto «EPSS baixo, deixa para depois» falham na prática. Ordene por KEV, depois EPSS, depois CVSS, e defina o prazo pela sua própria exposição.