研究：骇客在这9年来所开采的公开漏洞中，只有一半利用公开攻击程式
根据统计，在这9年中所出现的7.6万个漏洞中，约有9,700个漏洞的攻击程式被公开，其中只有2,100个被应用在实际攻击中。图片来源：Improving Vulnerability Remediation Through Better Exploit Prediction（https://weis2019.econinfosec.org/wp-content/uploads/sites/6/2019/05/WEIS_2019_paper_53.pdf）
几名研究人员在本月初举行的资讯安全经济（Economics of Information Security）研讨会中，发表一项研究，企图探讨企业修补漏洞的优先级及效率，并指出在2009年至2018年的9年间，在全球被公开揭露的75,976个公开漏洞中（CVE），约有12.8%的漏洞出现公开的攻击程式，但在实际的攻击行动中，只有一半采纳了这些公开攻击程式。
研究指出，大多数企业在修补漏洞的政策上都力求平衡，有些可能尝试修补所有的漏洞，却会造成缺乏效率的后果，有些则是优先修补少数的高风险漏洞，但后者则需要更好的攻击预测与评估，而这即是目前不管是-机关或私人企业都缺乏的能力。
此一报告揭露了最近9年来被公开的漏洞、公开的漏洞攻击程式，以及相关漏洞遭到实际开采的数据。
根据统计，在这9年中所出现的7.6万个漏洞中，约有9,700个漏洞的攻击程式被公开，占所有漏洞总数的12.8%，另一方面，在实际的攻击行动中，被利用的漏洞为4,200个，占所有漏洞的5%。
不过，实际的攻击并非总是利用公开的攻击程式，分析显示，这9,700个漏洞的公开攻击程式只有2,100个被应用在实际攻击中，代表骇客所开采的4,200个漏洞中，有一半的攻击程式是自行打造的。
研究人员想要表达的，是企业或-不应只仰赖漏洞攻击程式的曝光与否或CVSS分数来决定修补顺序，因为在实际的攻击行动中，骇客所开采的漏洞至少有一半是缺乏公开攻击程式的，亦只有不到一半比例的CVSS分数高于9。
