มีการเผยแพร่ช่องโหว่ CVE ใหม่มากกว่า 31,800 รายการต่อปีในฐานข้อมูล NIST National Vulnerability Database โดย 48.5% ถูกจัดอยู่ในระดับความรุนแรง High หรือ Critical แต่มีเพียง 4.2% เท่านั้นที่ถูกโจมตีจริงในโลกไซเบอร์ (CISA KEV), บ็อตเน็ตอัตโนมัติของผู้โจมตีเริ่มสแกนหา CVE ใหม่ภายใน 14 นาที และองค์กรธุรกิจใช้เวลาเฉลี่ย 58.0 วันในการแพตช์ช่องโหว่ระดับวิกฤต ในขณะที่ 86% ของการละเมิดความปลอดภัยเกิดจากการใช้ประโยชน์จากช่องโหว่ N-day ที่มีแพตช์อยู่แล้ว และบักความปลอดภัยของหน่วยความจำคิดเป็น 70% ของ CVE ใน Windows/Chromium ระบบ EPSS ช่วยลดภาระในการคัดกรองแพตช์ได้ถึง -82% และช่องโหว่รุ่นเก่าอย่าง Log4j ยังคงพบได้ใน 34% ของการดาวน์โหลด ตัวเลขด้านล่างนี้รวบรวมจากงานวิจัยเชิงประจักษ์ที่เผยแพร่โดย NIST NVD, MITRE, CISA, FIRST.org, Qualys และ Google Project Zero
TL;DR
- มีการรวบรวมช่องโหว่ Common Vulnerabilities and Exposures (CVE) ใหม่มากกว่า 31,800 รายการต่อปี (เฉลี่ย 87 รายการใหม่ต่อวัน)
- 48.5% ของช่องโหว่ซอฟต์แวร์ CVE ที่เผยแพร่ทั้งหมดถูกจัดอยู่ในระดับความรุนแรง High หรือ Critical (CVSS 7.0 ถึง 10.0)
- มีช่องโหว่ CVE สะสมรวมกว่า 275,000 รายการนับตั้งแต่ MITRE ก่อตั้งระบบขึ้นในปี 1999
- มีเพียง 4.2% ของ CVE ที่เผยแพร่ทั้งหมดที่ได้รับการยืนยันว่าถูกนำไปใช้โจมตีจริงในโลกไซเบอร์ (แคตตาล็อก CISA KEV)
- บ็อตอัตโนมัติของผู้โจมตีเริ่มสแกนอินเทอร์เน็ตเพื่อค้นหา CVE ที่เพิ่งเผยแพร่ใหม่โดยใช้เวลาเฉลี่ยเพียง 14 นาที
- 86.0% ของการละเมิดความปลอดภัยในองค์กรที่เกิดจากช่องโหว่ เป็นการโจมตีผ่านช่องโหว่ N-day ที่ทราบกันดีและมีแพตช์พร้อมใช้งานแล้ว
- การจัดลำดับความสำคัญในการแก้ไขช่องโหว่โดยใช้แบบจำลอง EPSS ช่วยลดภาระงานแพตช์ที่ไม่จำเป็นลงได้ -82.0% (FIRST.org)
- เวลาเฉลี่ยในการแก้ไข (MTTR) ขององค์กรสำหรับช่องโหว่ CVE ระดับความรุนแรง Critical อยู่ที่เฉลี่ย 58.0 วัน (Qualys)
- 42.0% ของช่องโหว่ CVE ระดับ Critical ทั้งหมดมุ่งเป้าไปที่เอ็นจินของเว็บเบราว์เซอร์และฮาร์ดแวร์เครือข่ายขอบเขต / อุปกรณ์รวมศูนย์ VPN
- 28.0% ของเซิร์ฟเวอร์ภายในองค์กรยังคงมีช่องโหว่ที่ยังไม่ได้รับการแพตช์ซึ่งเผยแพร่มานานกว่า 5 ปีอย่างน้อยหนึ่งรายการ
- 34.0% ของการดาวน์โหลดแพ็กเกจ Java Log4j ในปี 2025/2026 ยังคงดึงเวอร์ชัน Log4Shell (CVE-2021-44228) ที่มีช่องโหว่ไปใช้งาน
- 70.0% ของช่องโหว่ความปลอดภัยระดับความรุนแรงสูงทั้งหมดใน Microsoft Windows และ Google Chromium เกิดจากบักความปลอดภัยของหน่วยความจำ
- การดำเนินการรอบการแพตช์ฉุกเฉินนอกรอบทั่วทั้งองค์กรมีค่าใช้จ่ายเฉลี่ย $48,500 ในส่วนของค่าแรงในการปฏิบัติการโดยตรง
1. การเปิดเผยประจำปี: พบ CVE ใหม่ 31,800+ รายการต่อปี และ 48.5% ระดับ High/Critical
การทดสอบแบบฟัซซิงอัตโนมัติและโครงการมอบรางวัลสำหรับผู้ค้นพบช่องโหว่ (bug bounty) ได้เร่งให้เกิดการบันทึกช่องโหว่อย่างเป็นทางการเพิ่มขึ้นแบบทวีคูณ NIST NVD บันทึกช่องโหว่ CVE ใหม่มากกว่า 31,800 รายการต่อปี
การกระจายตัวของระดับความรุนแรง: 48.5% ของ CVE อยู่ในระดับ High หรือ Critical (NIST/MITRE) ซึ่งเพิ่มเข้าไปในแคตตาล็อกสะสมในอดีตที่ทะลุ 275,000 ช่องโหว่แล้ว
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| จำนวน Common Vulnerabilities and Exposures (CVE) ทั้งหมดที่เผยแพร่เป็นประจำทุกปีใน NIST National Vulnerability Database (NVD) | พบช่องโหว่ CVE ใหม่กว่า 31,800+ รายการในปี 2025/2026 (เฉลี่ย 87 รายการใหม่ต่อวัน) | NIST National Vulnerability Database (NVD) / MITRE |
| สัดส่วนของช่องโหว่ CVE ที่เผยแพร่ซึ่งถูกจัดอยู่ในระดับความรุนแรง High หรือ Critical (คะแนน CVSS 7.0 ถึง 10.0) | 48.5% ของ CVE ที่เผยแพร่ทั้งหมดได้รับการจัดอันดับความรุนแรงระดับ High หรือ Critical | การวิเคราะห์ความรุนแรง NIST NVD / First.org CVSS |
| จำนวนช่องโหว่ CVE สะสมทั้งหมดที่เผยแพร่นับตั้งแต่ MITRE ก่อตั้งระบบ CVE ในปี 1999 | รวบรวมช่องโหว่ CVE สะสมทั้งหมดกว่า 275,000+ รายการจนถึงปัจจุบัน | สถิติอย่างเป็นทางการของโครงการ MITRE CVE |
โครงการมอบรางวัลช่องโหว่และการเปิดเผยของแฮกเกอร์สายขาวเชื่อมโยงกับ สถิติ bug bounty ของเรา แหล่งที่มา: NIST National Vulnerability Database
2. การโจมตีในโลกจริง: 4.2% ใน CISA KEV และการโจมตีภายใน 14 นาที
ช่องโหว่ทางทฤษฎีส่วนใหญ่ไม่เคยถูกนำไปสร้างเป็นอาวุธโจมตี ในขณะที่จุดบกพร่องบริเวณขอบเขตเครือข่ายระดับวิกฤตต้องเผชิญกับการโจมตีแบบอัตโนมัติภายในไม่กี่นาทีหลังการเปิดเผย มีเพียง 4.2% ของ CVE เท่านั้นที่ถูกโจมตีจริงในโลกไซเบอร์
ความเร็วในการสแกน: บ็อตเน็ตสแกนหา CVE ใหม่ภายใน 14 นาที (Palo Alto) ในขณะที่ 86.0% ของการละเมิดความปลอดภัยใช้ประโยชน์จากช่องโหว่ N-day ที่ทราบกันดีและมีแพตช์อยู่แล้ว (Mandiant)
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| แคตตาล็อก CISA Known Exploited Vulnerabilities (KEV): สัดส่วนของ CVE ที่เผยแพร่ทั้งหมดที่ได้รับการยืนยันว่าถูกนำไปใช้โจมตีจริงโดยกลุ่มภัยคุกคาม | 4.2% ของ CVE ที่เผยแพร่ทั้งหมดได้รับการยืนยันว่าถูกโจมตีจริงในโลกไซเบอร์ | ข้อมูลระยะไกลแคตตาล็อก CISA KEV / Qualys |
| ความเร็วตั้งแต่การเผยแพร่ CVE จนถึงการโจมตีจริง: ระยะเวลาระหว่างการเปิดเผย CVE ต่อสาธารณะและแคมเปญการสแกนอัตโนมัติของผู้โจมตี | 14 นาทีคือเวลาเฉลี่ยที่กลุ่มภัยคุกคามเริ่มการสแกนอัตโนมัติสำหรับ CVE ที่เพิ่งเผยแพร่ใหม่ | รายงานภัยคุกคาม Palo Alto Networks Unit 42 |
| การโจมตี Zero-Day เทียบกับ N-Day: สัดส่วนของการละเมิดเครือข่ายองค์กรที่ใช้ประโยชน์จากช่องโหว่ N-day ที่มีแพตช์อยู่แล้ว (เทียบกับ zero-days) | 86.0% ของการละเมิดที่เกิดจากช่องโหว่ใช้ประโยชน์จากข้อบกพร่อง N-day ที่ทราบกันดีและมีแพตช์พร้อมใช้งาน | Mandiant M-Trends / Verizon DBIR |
เวกเตอร์การโจมตีการละเมิดข้อมูลและการเข้าถึงเริ่มต้นเชื่อมโยงกับ สถิติการละเมิดข้อมูล ของเรา แหล่งที่มา: CISA Known Exploited Vulnerabilities
3. ตัวชี้วัดการแก้ไขและ EPSS: ลดภาระการคัดกรอง -82% และ MTTR 58 วัน
การพึ่งพาคะแนนฐาน CVSS เพียงอย่างเดียวทำให้เกิดความเหนื่อยล้าในการแพตช์ ในขณะที่การให้คะแนนความน่าจะเป็นเชิงคาดการณ์ช่วยเน้นการแก้ไขไปที่ภัยคุกคามที่เกิดขึ้นจริง EPSS ช่วยลดภาระการแพตช์ลง -82.0%
ระยะเวลาแฝงในการแก้ไข: องค์กรธุรกิจใช้เวลาเฉลี่ย 58.0 วันในการติดตั้งแพตช์ระดับวิกฤต (Qualys) โดย VPN ขอบเขตเครือข่ายและเบราว์เซอร์คิดเป็น 42.0% ของข้อบกพร่องระดับวิกฤต
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| ประสิทธิภาพของ EPSS (Exploit Prediction Scoring System): ประสิทธิผลของคะแนนความน่าจะเป็น EPSS ในการทำนายการโจมตีจริงเทียบกับคะแนน CVSS ดิบ | ลดภาระการจัดลำดับความสำคัญในการแพตช์ที่ไม่จำเป็นลงได้ 82.0% เมื่อใช้ EPSS + CISA KEV เทียบกับ CVSS ดิบ | ข้อมูล FIRST.org EPSS / Cyentia Institute |
| เวลาเฉลี่ยในการแก้ไข (MTTR) สำหรับ CVE ระดับวิกฤต: จำนวนวันที่แผนก IT ขององค์กรต้องใช้ในการแพตช์ CVE ระดับความรุนแรง Critical | 58.0 วันคือเวลาเฉลี่ยสำหรับองค์กรธุรกิจในการแพตช์ CVE ระดับวิกฤต | งานวิจัยภัยคุกคาม Qualys TruRisk / Ponemon |
| หมวดหมู่ซอฟต์แวร์ที่มีช่องโหว่สูงสุด: โดเมนซอฟต์แวร์ที่มีการเปิดเผย CVE ระดับวิกฤตในปริมาณสูงสุด (เว็บเบราว์เซอร์, เคอร์เนลระบบปฏิบัติการ, Edge VPN) | 42.0% ของ Critical CVE มุ่งเป้าไปที่เว็บเบราว์เซอร์และฮาร์ดแวร์เครือข่ายขอบเขต/ไฟร์วอลล์ | VulnCheck State of Exploitation / NIST |
การจัดการช่องโหว่ในการปฏิบัติการ SIEM และ SOC เชื่อมโยงกับ สถิติ SIEM และ SOC ของเรา แหล่งที่มา: FIRST.org EPSS Data
4. การตกค้างของระบบเก่าและความปลอดภัยหน่วยความจำ: 28% พบ CVE นานกว่า 5 ปี และ 70% เป็นบักหน่วยความจำ
เซิร์ฟเวอร์ระบบเก่าที่ไม่ได้รับการจัดการและอุปกรณ์ฝังตัวมักรันโค้ดเบสที่ถูกลืม ซึ่งยังคงมีความเปราะบางต่อการโจมตีในอดีตอย่างถาวร 28.0% ของเซิร์ฟเวอร์รัน CVE ที่มีอายุ 5 ปีขึ้นไป
บักหน่วยความจำ: 70.0% ของช่องโหว่ใน Windows/Chromium เป็นข้อบกพร่องด้านความปลอดภัยของหน่วยความจำ (Microsoft/Google) ในขณะที่ 34.0% ของการดาวน์โหลด Log4j ยังคงมีช่องโหว่ต่อ Log4Shell (Sonatype)
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| การตกค้างของช่องโหว่ในระบบเก่า: ระบบองค์กรที่ยังคงรัน CVE ที่ไม่ได้แพตช์ซึ่งเผยแพร่มานานกว่า 5 ปี (เช่น Log4j, EternalBlue) | 28.0% ของเซิร์ฟเวอร์ภายในองค์กรรัน CVE ที่ไม่ได้แพตช์ซึ่งมีอายุ 5+ ปีขึ้นไปอย่างน้อยหนึ่งรายการ | Tenable State of Vulnerability Management |
| การตกค้างของ Log4j (Log4Shell / CVE-2021-44228): แอปพลิเคชันระดับองค์กรที่ยังคงดาวน์โหลดและรันไลบรารี Log4j เวอร์ชันที่มีช่องโหว่ | 34.0% ของการดาวน์โหลดแพ็กเกจ Log4j ในปี 2025/2026 ยังคงเป็นเวอร์ชัน Log4Shell ที่มีช่องโหว่ | ข้อมูลระยะไกล Sonatype Central Repository |
| CVE ด้านความปลอดภัยของหน่วยความจำ: สัดส่วนของช่องโหว่ความรุนแรงสูงที่เกิดจากบักการจัดการหน่วยความจำ (buffer overflow, use-after-free) ในโค้ด C/C++ | 70.0% ของช่องโหว่ความปลอดภัย CVE ทั้งหมดของ Microsoft และ Google Chromium เป็นช่องโหว่ความปลอดภัยของหน่วยความจำ | Microsoft Security Response Center (MSRC) / Google Chromium |
ช่องโหว่และการพึ่งพาในห่วงโซ่อุปทานซอฟต์แวร์เชื่อมโยงกับ สถิติการโจมตีห่วงโซ่อุปทาน ของเรา แหล่งที่มา: Microsoft Security Response Center
5. ความคุ้มค่าในการแพตช์และความล่าช้าของ Zero-Day: ค่าใช้จ่ายแพตช์ $48.5k และผู้พัฒนามอบแพตช์ล่าช้า 52 วัน
การติดตั้งอัปเดตฉุกเฉินนอกรอบทั่วทั้งคลัสเตอร์การผลิตระดับโลกที่กระจายตัวอยู่นั้นต้องอาศัยการทดสอบความเข้ากันได้อย่างครอบคลุม แพตช์ฉุกเฉินมีค่าใช้จ่าย $48,500 ต่อรอบ
การตอบสนองของผู้พัฒนา: ผู้พัฒนาใช้เวลาเฉลี่ย 52.0 วันในการแพตช์ zero-day ที่ได้รับรายงาน (Google Project Zero) โดย 32.0% ของการเปิดเผยหันมาใช้มาตรฐาน CVSS v4.0
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| ต้นทุนการแพตช์ความปลอดภัยฉุกเฉินนอกรอบ: ค่าแรงการดำเนินงานด้าน IT ต่อการติดตั้งแพตช์ฉุกเฉินระดับองค์กรหนึ่งครั้ง | ค่าใช้จ่ายเฉลี่ย $48,500 ด้านแรงงานในการปฏิบัติการเพื่อดำเนินการรอบการแพตช์ฉุกเฉินทั่วทั้งองค์กร | การศึกษาการจัดการช่องโหว่ Ponemon Institute |
| ความล่าช้าในการเปิดตัวแพตช์ของผู้พัฒนา: เวลาเฉลี่ยตั้งแต่รายงานช่องโหว่ zero-day แบบส่วนตัวครั้งแรกจนถึงการปล่อยแพตช์สาธารณะของผู้พัฒนา (วัน) | 52.0 วันคือเวลาตอบสนองเฉลี่ยของผู้พัฒนาในการพัฒนาและปล่อยแพตช์ความปลอดภัย | บทวิจารณ์ประจำปีของ Google Project Zero |
| การนำ CVSS v4.0 มาใช้: การเปิดเผยช่องโหว่ที่นำมาตรฐาน CVSS 4.0 ที่ได้รับการปรับปรุงมาใช้โดยรวมเมตริกภัยคุกคามและความง่ายในการโจมตี | 32.0% ของคำแนะนำด้านช่องโหว่ที่เผยแพร่ใหม่ให้คะแนนตาม CVSS v4.0 | FIRST.org Common Vulnerability Scoring System |
การตรวจจับความปลอดภัยของอุปกรณ์ปลายทางและการแพตช์ตามพฤติกรรมเชื่อมโยงกับ สถิติความปลอดภัยของอุปกรณ์ปลายทาง ของเรา แหล่งที่มา: Google Project Zero
6. ธรรมาภิบาลในการสแกนและงานค้างสะสม: งานค้างโตขึ้น +24% และ 88% ปฏิบัติตามเกณฑ์ CISA
เครื่องมือประเมินช่องโหว่อัตโนมัติอย่างต่อเนื่องค้นพบช่องโหว่ในแต่ละเดือนมากกว่าที่ทีมพัฒนาจะแก้ไขได้ทัน งานค้างที่ยังไม่ได้รับการแพตช์เพิ่มขึ้น +24.0%
การบังคับใช้ระดับสหพันธรัฐ: 88.0% ของหน่วยงานพลเรือนระดับสหพันธรัฐแพตช์ข้อบกพร่องตาม CISA KEV ภายในกรอบเวลา 14 วันที่กำหนด (CISA BOD 22-01) ซึ่งได้รับการสนับสนุนจากการนำระบบสแกนรายวันมาใช้ถึง 64.0%
| ตัวชี้วัด | ค่า | แหล่งที่มา |
|---|---|---|
| ความถี่ในการสแกนช่องโหว่อัตโนมัติ: องค์กรธุรกิจที่ทำการสแกนช่องโหว่ของทรัพย์สินอัตโนมัติอย่างต่อเนื่องทุกวันหรือทุกสัปดาห์ | 64.0% ของสภาพแวดล้อม IT ระดับองค์กรทำการสแกนช่องโหว่อัตโนมัติอย่างต่อเนื่อง | คู่มือตลาด Gartner สำหรับการประเมินช่องโหว่ |
| การเติบโตของงานค้างช่องโหว่: การเพิ่มขึ้นประจำปีของงานค้างทั้งหมดของ CVE ที่ยังไม่ได้รับการแก้ไขและยังไม่ได้รับการแพตช์ในระบบออกตั๋ว (Jira, ServiceNow) | +24.0% การเติบโตต่อปีของงานค้างช่องโหว่ที่ยังไม่ได้แพตช์ในระดับองค์กร | รายงานสถานะการดำเนินงานความเสี่ยงทางไซเบอร์ Brinqa |
| คำสั่งการปฏิบัติการที่มีผลผูกพันของ CISA (BOD 22-01): อัตราการปฏิบัติตามของหน่วยงานรัฐบาลกลางในการแพตช์ช่องโหว่ CISA KEV ภายในกรอบเวลาบังคับ 14 วัน | 88.0% ของหน่วยงานพลเรือนของรัฐบาลกลางแพตช์ช่องโหว่ CISA KEV ภายในข้อบังคับ 14 วัน | สรุปการปฏิบัติตามกฎระเบียบของรัฐบาลกลาง CISA BOD 22-01 |
สรุป: ช่องโหว่ CVE ในรูปแบบตัวเลข
| ตัวชี้วัด | ค่า | แหล่งที่มาหลัก |
|---|---|---|
| ช่องโหว่ CVE ใหม่ที่ได้รับการบันทึกประจำปี | 31,800+ CVE ใหม่ / ปี | NIST NVD / MITRE |
| CVE ที่เผยแพร่ซึ่งถูกจัดอันดับความรุนแรง High หรือ Critical | 48.5% High หรือ Critical | การวิเคราะห์ของ NIST NVD |
| ช่องโหว่ CVE สะสมทั้งหมดตั้งแต่ปี 1999 | 275,000+ CVE ทั้งหมด | โครงการ MITRE CVE |
| CVE ที่เผยแพร่ซึ่งถูกนำไปใช้โจมตีจริงในโลกไซเบอร์ | 4.2% ถูกโจมตีจริง | แคตตาล็อก CISA KEV / Qualys |
| เวลาตั้งแต่การเผยแพร่ CVE จนถึงการสแกนด้วยบ็อตอัตโนมัติ | 14 นาทีในการเริ่มสแกน | รายงาน Palo Alto Unit 42 |
| การละเมิดที่ใช้ประโยชน์จากช่องโหว่ N-day ที่มีแพตช์อยู่แล้ว | 86.0% การโจมตี N-day | Mandiant / Verizon DBIR |
| การลดภาระการคัดกรองแพตช์ผ่านแบบจำลอง EPSS | -82.0% ภาระการคัดกรอง | FIRST.org / Cyentia |
| เวลาเฉลี่ยในการแพตช์ CVE ระดับวิกฤต (MTTR) | 58.0 วันในการแพตช์ | งานวิจัย Qualys TruRisk |
| Critical CVE ที่มุ่งเป้าไปที่เบราว์เซอร์และ VPN ขอบเขต | 42.0% เบราว์เซอร์/ไฟร์วอลล์ | VulnCheck / NIST |
| เซิร์ฟเวอร์องค์กรที่รัน CVE อายุ 5+ ปีที่ยังไม่ได้แพตช์ | 28.0% ช่องโหว่เก่าตกค้าง | การศึกษาช่องโหว่ Tenable |
| การดาวน์โหลด Log4j ที่ยังคงเป็นเวอร์ชัน Log4Shell ที่มีช่องโหว่ | 34.0% Log4j ที่มีช่องโหว่ | ข้อมูลระยะไกล Sonatype Central |
| CVE ใน Chromium และ Windows ที่เกิดจากความปลอดภัยหน่วยความจำ | 70.0% บักความปลอดภัยหน่วยความจำ | Microsoft MSRC / Google |
| ค่าใช้จ่ายของรอบการแพตช์ฉุกเฉินทั่วทั้งองค์กร | $48,500 / รอบการแพตช์ | การศึกษาของ Ponemon Institute |
| เวลาเฉลี่ยของผู้พัฒนาในการปล่อยแพตช์สำหรับ zero-day | 52.0 วันความล่าช้าของผู้พัฒนา | Google Project Zero |
| การปฏิบัติตามข้อบังคับ KEV 14 วันของหน่วยงานรัฐบาลกลาง | 88.0% การปฏิบัติตามของรัฐบาลกลาง | รายงาน CISA BOD 22-01 |
ระเบียบวิธีและแหล่งที่มา
สถิติในรายงานนี้รวบรวมจากบันทึกฐานข้อมูลช่องโหว่อย่างเป็นทางการจาก NIST National Vulnerability Database (NVD) และโครงการ MITRE CVE, ข้อมูลระยะไกลการติดตามการโจมตีจากแคตตาล็อก Known Exploited Vulnerabilities (KEV) ของ CISA, ข้อมูลแบบจำลองการคาดการณ์จาก FIRST.org (EPSS และ CVSS v4.0), เกณฑ์มาตรฐานช่องโหว่ระดับองค์กรจาก Qualys, Tenable และ Sonatype รวมถึงงานวิจัย zero-day จาก Google Project Zero และ Microsoft Security Response Center
-
NIST National Vulnerability Database (NVD) & MITRE: สถิติโครงการ CVE, การกระจายคะแนน CVSS และเมตริก NVD (31,800+ CVE ต่อปี, 48.5% High/Critical, 275k ทั้งหมด)
-
Cybersecurity and Infrastructure Security Agency (CISA): แคตตาล็อก Known Exploited Vulnerabilities (KEV) และการปฏิบัติตาม BOD 22-01 (4.2% ถูกโจมตีจริง, 88% การปฏิบัติตามของรัฐบาลกลาง)
-
FIRST.org & Cyentia Institute: งานวิจัย Exploit Prediction Scoring System (EPSS) และข้อกำหนด CVSS v4.0 (ลดภาระงานแพตช์ -82% ผ่าน EPSS, 32% CVSS 4.0)
-
Qualys & Tenable: รายงานการจัดการช่องโหว่ TruRisk: เกณฑ์มาตรฐาน MTTR และการตกค้างของ CVE เก่า (58.0 วัน MTTR, 28% CVE อายุ 5+ ปี)
-
Google Project Zero & Microsoft Security (MSRC): รายงานสรุปประจำปี: การโจมตี Zero-Day และ 70% ช่องโหว่ความปลอดภัยหน่วยความจำ (ผู้พัฒนาล่าช้า 52 วัน, 70% บักหน่วยความจำ)
-
Data watch: สถิติ CVE สะท้อนถึงการเปิดเผยช่องโหว่ที่ได้มาตรฐานซึ่งรวบรวมไว้ในพจนานุกรม NIST NVD และ MITRE ในซอฟต์แวร์ระดับองค์กร ระบบปฏิบัติการ และเฟิร์มแวร์ ช่องโหว่ที่เป็นกรรมสิทธิ์ส่วนบุคคลที่ยังไม่เปิดเผยจะถูกจัดหมวดหมู่แยกต่างหาก
-
อัปเดตล่าสุด: สิงหาคม 2026. การสรุปข้อมูลนี้ได้รับการอัปเดตทุกไตรมาสเมื่อมีการปรับปรุงตัวเลขรายไตรมาสของ NIST NVD, การขยายแคตตาล็อก CISA KEV และแบบจำลองการคาดการณ์ของ EPSS