[{"data":1,"prerenderedAt":150},["ShallowReactive",2],{"publication:ru:P148":3},{"meta":4,"copy":16,"relatedArticles":136,"terms":137,"term":138,"resourceParent":144,"glossaryParent":147},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":15},"P148","\u002Fglossary\u002Fcvss","term","что такое CVSS","Что такое CVSS: техническая серьезность и приоритет для бизнеса","Что такое CVSS: оценка, вектор и контекст риска","Как читать CVSS с учетом версии, вектора и источника. Чем техническая серьезность отличается от риска бизнеса, EPSS и фактической эксплуатации.",[13,14],"\u002Fservices\u002Fsecurity-audit","\u002Fblog\u002Fwordpress-plugin-vulnerability-response","2026-10-31",{"intro":17,"sections":18,"checklistTitle":96,"checklist":97,"faq":103,"sources":113,"links":116,"cta":131},"CVSS - стандарт описания технической серьезности уязвимостей. Оценку читают вместе с версией стандарта, вектором метрик, источником и условиями расчета. Балл помогает обсуждать последствия, но сам по себе не определяет риск для бизнеса, очередность всех обновлений или факт взлома сайта.",[19,29,37,73,83,91],{"title":20,"paragraphs":21,"sources":25},"Что означает оценка CVSS",[22,23,24],"CVSS расшифровывается как Common Vulnerability Scoring System. Владелец сайта обычно видит итоговый балл в уведомлении, но для проверки важны предположения за ним. Один и тот же заголовок критическая проблема может скрывать разные требования к доступу и разные последствия.","FIRST прямо указывает, что базовая оценка CVSS не является риском и не должна единолично задавать приоритет исправления. Для бизнес-решения добавляют сведения об установленном компоненте, доступности функции, данных, зависимости работы и возможностях изменения.","Начинайте разговор со ссылки на оценку, а не с пересказа чужого цветного индикатора. Если отчет не содержит версии стандарта или вектора, запросите эти сведения. Это помогает выяснить разницу между оценками без предположения, что один источник обязательно ошибся.",[26],{"label":27,"url":28},"FIRST: CVSS v4.0, метрики и ограничения оценки","https:\u002F\u002Fwww.first.org\u002Fcvss\u002Fv4.0\u002Ffaq",{"title":30,"paragraphs":31,"sources":35},"Версия, вектор и контекст",[32,33,34],"Вектор CVSS является структурированной записью выбранных метрик. Сохраните его целиком вместе с версией и источником. Не переносите значения метрик из одной версии стандарта в другую и не сравнивайте голые числа так, будто условия их получения всегда одинаковы.","В CVSS v4.0 используются группы Base, Threat, Environmental и Supplemental. Наличие дополнительных метрик еще не означает, что источник учел именно вашу среду. Supplemental дополняют описание, не меняя итоговый балл. Проверьте, какие сведения фактически представлены, а какие предполагаются.","Для своей установки соберите практический контекст: включена ли функция, кто имеет доступ, какие данные обрабатываются и есть ли зависимые сервисы. Эти сведения нужны даже тогда, когда пересчет вектора выполняет другой ответственный специалист.",[36],{"label":27,"url":28},{"title":38,"paragraphs":39,"table":42},"Карточка оценки без ложной точности",[40,41],"Рабочая таблица CyberFixCrew помогает передавать оценку вместе с основаниями. Не заполняйте неизвестные поля удобными допущениями. Лучше отдельная задача на уточнение, чем точное число с неподтвержденными исходными данными.","Такая карточка не превращает CVSS в финансовый калькулятор. Ее задача - показать, почему оценка относится к конкретному компоненту и какие дополнительные вопросы влияют на решение владельца бизнеса.",{"caption":43,"headers":44,"rows":48},"Какие сведения хранить рядом с баллом CVSS",[45,46,47],"Сведение","Что уточнить","Зачем это нужно",[49,53,57,61,65,69],[50,51,52],"Источник","Кто оценил и когда","Проверить происхождение",[54,55,56],"Версия","Версия CVSS и полный вектор","Понять правила оценки",[58,59,60],"Условия","Доступ, роли и предположения","Сопоставить с установкой",[62,63,64],"Среда","Функции, данные, зависимости","Оценить рабочие последствия",[66,67,68],"Другие сигналы","Эксплуатация и актуальность","Не решать только по числу",[70,71,72],"Решение","Владелец, действие, проверка","Получить исполнимую задачу",{"title":74,"paragraphs":75,"sources":79},"Чем отличаются CVSS, EPSS и KEV",[76,77,78],"EPSS оценивает вероятность наблюдаемой эксплуатации уязвимости в мире на горизонте следующих 30 дней. Процентиль показывает относительное положение среди оцененных уязвимостей и не равен этой вероятности. EPSS не знает состав ваших сайтов и не устанавливает факт их компрометации.","KEV отражает известную эксплуатацию, а прогноз EPSS смотрит вперед. Эти сведения дополняют техническое описание. Не перемножайте балл CVSS и процентиль, чтобы получить якобы точный риск: такая формула скрывает разные смыслы исходных величин.","Для конкретного сайта сначала подтвердите применимость и доступность. Затем сопоставьте внешние сигналы с ролью функции и последствиями. Если уже наблюдается активное чужое действие, передайте ситуацию в реагирование, не ожидая удобного места в обычной очереди обновлений.",[80],{"label":81,"url":82},"FIRST: EPSS, прогноз и отличие вероятности от процентиля","https:\u002F\u002Fwww.first.org\u002Fepss\u002Ffaq",{"title":84,"paragraphs":85,"example":88},"Как оценка превращается в рабочее решение",[86,87],"Условный магазин получает два предупреждения. Первое имеет более высокий балл, но относится к функции, которой нет в установленной редакции. Второе касается доступного компонента оформления заказа. Ответственному нужно проверить эти условия, а не автоматически сортировать только колонку CVSS.","После подтверждения определяют исправление или поддерживаемую временную меру, нужное тестирование и владельца выпуска. Приоритет фиксируют словами с основаниями. Если исходные условия изменятся, решение можно пересмотреть без выдуманной универсальной формулы.",{"title":89,"text":90},"Условный пример записи решения","Доступный компонент заказа проверяется первым из-за подтвержденной применимости и рабочей роли. По второму предупреждению сохраняется задача уточнить редакцию. Численные оценки и результаты реальной проверки в этом примере не задаются.",{"title":92,"paragraphs":93},"Что передать для обсуждения",[94,95],"Подготовьте исходную ссылку, вектор, версию CVSS, название и версию компонента. Опишите бизнес-функцию и уже известные ограничения. Полезный итог обсуждения - перечень уточнений, назначенное действие и способ проверить результат, а не обещание сделать все оценки зелеными.","CyberFixCrew - израильская компания по защите сайтов и цифровой инфраструктуры. Помогаем русскоязычным бизнесам по всему миру применять израильские знания в области кибербезопасности к понятным решениям: какие компоненты проверить, что изменить и как согласовать результат.","Проверка сведений об оценке",[98,99,100,101,102],"Источник, дата, версия CVSS и вектор сохранены.","Применимость к установленному компоненту подтверждается отдельно.","Вероятность EPSS не перепутана с процентилем.","Внешние сигналы сопоставлены с рабочей функцией.","Приоритет имеет объяснение, владельца и условие пересмотра.",[104,107,110],{"question":105,"answer":106},"Более высокий CVSS всегда означает первое место в очереди?","Нет, важны применимость, фактическая доступность, сведения об эксплуатации и последствия для конкретной функции бизнеса. Неиспользуемая редакция и доступный компонент оплаты требуют разных решений. Это не повод игнорировать высокую оценку: ее нужно прочитать вместе с условиями и зафиксировать основание приоритета.",{"question":108,"answer":109},"Можно сравнивать оценки разных версий CVSS?","Сравнивать их как полностью одинаковые измерения некорректно. Сохраняйте версию, вектор и источник каждой оценки. Разница может отражать правила стандарта, предположения или уточнение сведений. Для решения по установке важнее объяснить условия и последствия, чем выбрать одно число без контекста.",{"question":111,"answer":112},"Низкий EPSS позволяет не исправлять проблему?","Прогноз не отменяет подтвержденную применимость, важность функции и сведения об известной эксплуатации. Он также не доказывает, что ваш сайт не подвергался воздействию. Решение об изменении принимают с учетом фактической среды и оставляют условие пересмотра при появлении новых данных.",[114,115],{"label":27,"url":28},{"label":81,"url":82},[117,120,123,126,129],{"path":118,"label":119},"\u002Fglossary\u002Fcve","CVE: идентификатор и запись",{"path":121,"label":122},"\u002Fblog\u002Fvulnerability-prioritization","Приоритизация для малого бизнеса",{"path":124,"label":125},"\u002Fglossary\u002Fzero-day","Хронология уязвимости нулевого дня",{"path":127,"label":128},"\u002Fglossary\u002Fvulnerability-scanning","Ограничения сканирования",{"path":13,"label":130},"Обсудить проверку безопасности сайта",{"title":132,"description":133,"button":134,"type":135},"Переведем оценку в понятный порядок действий","Передайте ссылку и сведения о компоненте без секретов. Согласуем применимость, приоритет и проверку результата.","Обсудить приоритет проверки","check",[],[],{"name":139,"aliases":140},"CVSS",[141,142,143],"Common Vulnerability Scoring System","цвсс","оценка серьезности уязвимости",{"path":145,"label":146},"\u002Fresources","Материалы и шаблоны безопасности сайта",{"path":148,"label":149},"\u002Fglossary","Словарь кибербезопасности для бизнеса",1794134064169]