CVSS 취약점 분류: 5가지 실패와 5가지 해결책

새 분석에 따르면 CVSS만으로 취약점을 분류하면 실제 공격 체인을 놓쳐, 치명적인 결함이 악용되기 전까지 패치 대기열에 남을 수 있다.

Palo Alto의 Operation Lunar Peek 사례는 CVE-2024-0012와 CVE-2024-9474처럼 연결된 취약점이 각각의 점수보다 훨씬 큰 위험을 만들 수 있음을 보여준다.

CVSS v3.1과 v4.0은 같은 결함에도 서로 다른 점수를 매길 수 있지만, 체인 공격·노출도·실제 악용 여부 같은 맥락은 충분히 반영하지 못한다.

기사는 단독 심각도 점수 대신 CISA KEV, EPSS, SSVC 같은 문맥 인식형 우선순위 기준을 활용해야 한다고 강조한다.