O que é CVSS?

Na prática, a nota é calculada a partir de critérios como se o ataque pode ser feito pela internet, se exige algum tipo de login, quanta complexidade técnica envolve e qual o estrago possível, como vazamento de dados ou controle total de um sistema. O resultado vira uma faixa de gravidade, geralmente baixa, média, alta ou crítica, que aparece em relatórios e avisos de correção.

Uma analogia simples é pensar em uma etiqueta de risco em um produto químico: ela não diz se você vai se machucar, mas indica o quão perigoso é o conteúdo, para você decidir o que guardar com mais cuidado primeiro.

Saber ler essa nota evita correr atrás de tudo ao mesmo tempo. Falhas com nota alta e exposição à internet devem ser corrigidas com prioridade, mas a nota sozinha não basta: é importante considerar também se a falha existe no seu ambiente e se já há ataques conhecidos explorando-a. Aplicar o patch assim que o fornecedor liberar continua sendo a melhor defesa.