Sfruttata attivamente significa che una vulnerabilità è già utilizzata dagli aggressori in attacchi del mondo reale, non solo discussa in un laboratorio o segnalata come rischio teorico. Compare spesso negli avvisi sulle minacce quando i difensori hanno evidenze di tentativi di exploit, intrusioni riuscite o malware che sfrutta la falla.
Questo stato è importante perché trasforma la correzione da normale attività di manutenzione in una riduzione urgente del rischio. Un bug sfruttato attivamente può offrire agli aggressori un punto di ingresso funzionante prima che le organizzazioni abbiano il tempo di aggiornare, segmentare i sistemi o bloccare l'esposizione. In pratica, i difensori rispondono applicando rapidamente le patch, limitando l'accesso ai servizi interessati, aumentando il monitoraggio e cercando segni di compromissione. I team di sicurezza usano anche questa etichetta per dare priorità agli avvisi: una vulnerabilità nota e sfruttata attivamente merita un'azione più rapida rispetto a una che è stata solo divulgata pubblicamente.