Paikrao beschreibt zunächst eine Entwicklung, die die Ausgangslage für Verteidiger verschärft. Sobald eine kritische Zero-Day-Lücke etwa in einem Kernel oder einer weit verbreiteten Open-Source-Bibliothek entdeckt werde, würden CVEs veröffentlicht, Scanner-Signaturen aktualisiert und zahlreiche Unternehmen sähen sich gleichzeitig mit einem neuen kritischen Befund konfrontiert. Das Grundproblem sei dabei nicht nur die Menge, sondern auch das schrumpfende Zeitfenster bis zur Ausnutzung.
Für dieses Ausnutzungsfenster nennt der Text eine Reihe von Vergleichswerten: 2018 lag die mittlere Zeit zwischen Offenlegung einer Schwachstelle und dem ersten beobachteten Exploit bei 771 Tagen, 2021 bei 84 Tagen, 2023 bei sechs Tagen und 2024 bei vier Stunden. Noch problematischer sei eine Mandiant-Analyse aus dem Jahr 2024, die eine durchschnittliche Zeit bis zur Ausnutzung von minus einem Tag festgestellt habe. Das bedeute, dass Angreifer Schwachstellen demnach bereits ausnutzten, bevor Patches öffentlich verfügbar seien.
Zusätzlich verweist Paikrao auf INDUSFACE: Dort liege die mittlere Zeit bis zur Ausnutzung inzwischen bei unter fünf Tagen, während die durchschnittliche Zeit zur Behebung einer kritischen Schwachstelle mehr als 60 Tage betrage. Daraus ergebe sich ein Verhältnis von 12 zu 1 zwischen Angreifer- und Verteidigergeschwindigkeit. Nach dieser Logik reicht es nicht mehr, nur schneller zu patchen oder strenger nach Punktzahlen zu sortieren.
Genau diese übliche Sortierung kritisiert der Beitrag. Klassisches Schwachstellenmanagement arbeite oft so, dass zuerst CVSS-Werte von 9 oder 10 abgearbeitet und danach die übrigen Einträge in der Warteschlange behandelt würden. Laut Paikrao vermittelt das zwar Systematik, greife aber zu kurz. CVSS sei nie dafür entworfen worden, Patch-Prioritäten festzulegen, sei in vielen Teams aber faktisch zur Standardlogik geworden. Das strukturelle Problem: CVSS-Bewertungen betrachteten den maximalen Schaden gegen ein abstraktes Ziel, nicht die Rolle einer Schwachstelle in einem konkreten Angriffsweg.
Als Beleg nennt der Text Zahlen aus dem Jahr 2025: 28 Prozent der ausgenutzten Schwachstellen hatten einen mittleren CVSS-Basiswert. Organisationen, die primär nach CVSS priorisierten, stuften damit mehr als ein Viertel der Schwachstellen, die Angreifer tatsächlich nutzten, nachrangig ein. Chris Gibson, Executive Director von FIRST, wird mit der Aussage zitiert, Organisationen, die für die Priorisierung allein CVSS-Basiswerte nutzten, seien „am wenigsten geeignet und präzise“.
Wie stark isolierte Bewertungen in die Irre führen können, illustriert Paikrao mit Operation Lunar Peek. Dabei umging CVE-2024-9474 mit einem CVSS-Wert von 6,9 und damit mittlerem Schweregrad die Schwachstelle CVE-2024-0012 mit einem CVSS-Wert von 9,3 und kritischem Schweregrad. Das Ergebnis waren 2.000 kompromittierte Firewalls von Palo Alto Networks. Für CVSS seien das zwei getrennte Einträge in einer Warteschlange gewesen, für Angreifer hingegen eine einzige Angriffskette.
Als Alternative schlägt der Beitrag graphenbasierte Pfadmodellierung vor. Statt zu fragen, welche einzelne Schwachstelle isoliert den höchsten Schweregrad habe, solle ein Sicherheitsteam untersuchen, welche ungepatchten Schwachstellen zusammen einen verbundenen Pfad vom ersten Zugriff bis zu den wichtigsten Werten eines Unternehmens eröffnen. Solche Modelle berücksichtigten Angriffspfad-Aggregation und Abhängigkeiten zwischen Systemen, etwa in Form von Angriffsbäumen. Die Umgebung werde dabei als gerichteter Graph dargestellt: Knoten stehen für Assets und Systemzustände, Kanten für ausnutzbare Übergänge.
Darauf aufbauend verweist Paikrao auf das Problem des minimalen Knotenschnitts. Ziel sei es, die kleinste Menge von Schwachstellen zu identifizieren, deren Behebung die größtmögliche Zahl von Angreiferpfaden zu kritischen Assets trennt. In dieser Logik kann eine Schwachstelle mittlerer Schwere, die an mehreren Kreuzungspunkten aller Wege zu Domain-Controllern liegt, wichtiger sein als eine kritische Remote-Code-Execution auf einem vom Netz isolierten Server. Der praktische Nutzen liege damit nicht nur in einer anderen Priorisierung, sondern auch im Zeitgewinn: Wer Engpässe in Angriffspfaden beseitigt, reduziert unmittelbares Risiko und verschafft sich Luft für nachrangige Korrekturen.