Der Zeitpunkt fällt in eine Phase rasant wachsender Schwachstellenzahlen. Microsoft legte in seinem jüngsten monatlichen Sicherheitsupdate knapp 1.000 Schwachstellen offen — deutlich mehr als in den bis vor Kurzem üblichen Monatsbilanzen. Auch andere Softwarehersteller melden in den vergangenen Monaten höhere Volumina; Analysten erwarten, dass sich dieser Trend kurzfristig noch verstärkt, bevor er ein Plateau erreicht.
Entsprechend wachsen die Rückstände in den Unternehmen, und mit ihnen der Druck, Behebungen am tatsächlichen Risiko auszurichten statt allein an CVSS-Werten. Bug-Bounty-Plattformen wie Bugcrowd, HackerOne und TrendAIs Zero Day Initiative berichten, dass sich die Zahl der Einreichungen zuletzt verdoppelt oder sogar verdreifacht habe.
Ein zweites Argument liefert die CISA selbst: Eine kürzlich von der Behörde vorgenommene Auswertung der Schwachstellendaten aus 2024 und 2025 ergab, dass die Zahl der tatsächlich von Angreifern ausgenutzten Lücken trotz des Mengenanstiegs nur geringfügig zunahm. Die Behörde liest daraus, dass Angreifer sich typischerweise auf einen kleinen Teil aller Schwachstellen konzentrieren — wer genau diese priorisiert, könne sein Risiko deutlich senken.
Zustimmung kommt aus der Branche. Hom Bahmanyar, Global Enablement Officer bei Ridge Security Technology Inc., bezeichnet die Verlagerung von schweregradbasiertem Management hin zu risikobasierter Priorisierung als begrüßenswert: Wer sich vor allem an CVSS-Schweregraden orientiere, übersehe häufig den breiteren Risikokontext, der Entscheidungen über Behebungen eigentlich leiten sollte. Die Entscheidung decke sich mit der Empfehlung der Behörde, Faktoren wie Automatisierbarkeit von Exploits, technische Auswirkungen, Exponiertheit von Assets und den KEV-Status einzubeziehen. “Angesichts der weiter zunehmenden KI-gestützten Cyberangriffe und der Möglichkeit für Gegner, Angriffe in größerem Umfang und mit höherer Geschwindigkeit zu automatisieren, ist die Hinwendung der CISA zu einer stärker kontextbezogenen, risikobasierten Priorisierung ein bedeutender und willkommener Fortschritt”, sagt er.
Waseem Ahmed, Gründungsmitglied und Head of Engineering bei Secure.com, sieht ebenfalls zu viele Organisationen, die sich stark auf Schweregrade stützen, ohne ausreichenden Einblick darin, wie Schwachstellen mit realen Angriffspfaden zusammenhängen. “Das Ziel ist nicht, jede Schwachstelle zu beseitigen, sondern sicherzustellen, dass die kritischsten Risiken angegangen werden, bevor Angreifer sie ausnutzen können”, sagt Ahmed. “In einer Bedrohungslage, die von Geschwindigkeit, Skalierung und KI geprägt ist, ist der Kontext das, was Schwachstellenmanagement wirklich wirksam macht.”
Kritischer fällt das Urteil von Kevin Surace aus. Die CISA habe zwar recht damit, dass ein CVSS-Wert allein nicht sage, was zuerst gepatcht werden müsse — das wöchentliche Bulletin habe vielen Sicherheitsteams jedoch einen verlässlichen Ort geboten, um neu offengelegte Schwachstellen einzusehen. “Es zu streichen, verlagert die Arbeit, sich dieses Bild zusammenzusetzen, auf Verteidiger, die ohnehin schon am Limit arbeiten — gerade in kleineren Organisationen”, so Surace. KEV sei unverzichtbar, aber eine Schwachstelle könne ein ernstes Risiko darstellen, bevor eine Ausnutzung bestätigt sei. Organisationen bräuchten weiterhin eine Möglichkeit, solche Bedrohungen früh zu erkennen und mit den tatsächlich eingesetzten Systemen in Verbindung zu bringen.