Una CVE (Common Vulnerabilities and Exposures) è l'identificatore univoco di una vulnerabilità pubblica – CVE-2026-45321 è la stessa falla per tutti, dal vendor allo scanner. Il CVSS ne misura la gravità tecnica da 0 a 10 (vettore d'attacco, complessità, impatto).
La trappola classica: ordinare le patch solo per CVSS. Un 9.8 mai sfruttato in rete conta meno di un 7.5 con exploit pubblico usato attivamente – per questo si affiancano l'EPSS (probabilità di sfruttamento) e il catalogo KEV delle vulnerabilità sfruttate note. E uno zero-day è una falla per cui la patch non esiste ancora: lì contano solo le difese in profondità. Per sapere di quali CVE ti devi preoccupare serve prima l'inventario: non puoi patchare ciò che non sai di avere.