リストするだけでなく、CVSS(共通脆弱性評価システム)を使用して脆弱性のスコアを付けます。多くの場合、脆弱性を発見した研究者や、影響を受ける製品やソフトウェアを所有する企業や組織によって割り当てられる最初の重大度スコアとは異なるスコアになります。ように無料でリストを提供しているところもありません。分析が遅れているという事実はそれほど深刻ではないように思えるかもしれません。社の月例セキュリティ更新プログラムを考えればわかると思います)。追加情報が不足していることは、管理者、セキュリティ研究者、ユーザーにとって不利益な状況であり、セキュリティ専門家は、この問題に迅速に対処するか、代替案を採用する必要があると警告しています。これらすべての情報の集合体であることを考えると、自社製品で発見された脆弱性を開示およびリリースするのは各ベンダーの責任であり、その情報を追跡する責任は管理者にあります。情報に依存していた場合、そのリストは現時点では古くなっている可能性が高いため、代わりに各ベンダーが提供している情報にアクセスし、自社で使用している製品に関して最近公開された脆弱性について調べ、脆弱性がもたらすリスクの大きさを把握する必要があります。どのようなネットワーク上にも、数十から数百のベンダー製品が接続されているでしょう。社のような大企業の製品であれば、セキュリティと脆弱性の情報に簡単にアクセスできますが、小規模なオープンソースプロジェクトには管理者が必要とするようなリソースが存在しない可能性があります。重大度スコアの最も信頼できる情報源でもあります。通常、ほとんどのユーザーがセキュリティアドバイザリを読むときに目にするのが、スコアの計算結果です。この項目がなければ、代わりに研究者やベンダーがスコアを割り当てることになります。このシステムでは、それほど深刻ではない脆弱性だと思われるように、高めのスコアを付けたくないと企業が考えるかもしれません。一方で研究者が、より深刻な問題を発見したという評価を得るために、自分が発見した問題の重大度を上げようとする可能性もあります。スコアはパッチを適用する際に信頼できる唯一の指標ではありませんが、一般のユーザーが脆弱性をどのように見ているか、また、脆弱性が悪用される可能性が高いかどうかに関して大きな役割を果たしています。スコアに対する信頼性が薄れると、パッチ管理における「羅針盤」がなくなり、管理者が頭を悩ませることになるかもしれません。Enumeration(CWE)が割り当てられていません。この脆弱性を突くエクスプロイトが使用された場合、バックドアから防御するための重要なコンテキストと情報を防御担当者が見逃すことになります。新たな脆弱性の処理に時間がかかる理由について、比較的曖昧な説明に終始してきました。「ソフトウェアの増加、それによる脆弱性の増加、および省庁間のサポートの変更」が原因で「脆弱性のバックログの増加」が発生したという声明を発表しました。