La verifica dell'exploitabilità è il processo di test per stabilire se una vulnerabilità segnalata può essere effettivamente utilizzata nell'ambiente di destinazione, e non solo se il difetto sottostante esiste nel codice. Un bug può essere reale sulla carta ma irraggiungibile nella pratica a causa di permessi mancanti, funzionalità disabilitate, restrizioni di rete, convalida dell'input o controlli compensativi. La verifica aiuta i team di sicurezza a distinguere i risultati teorici dai problemi che creano un rischio reale.
Questo è importante perché gli scanner e gli strumenti di analisi statica spesso generano un gran numero di avvisi, e gli attaccanti si concentrano sul sottoinsieme che può essere trasformato in un'arma. In difesa, la verifica dell'exploitabilità può includere la riproduzione del problema in un laboratorio, il controllo dei percorsi del codice, la conferma dei prerequisiti e la misurazione dell'efficacia delle mitigazioni nel bloccare gli abusi. Nei flussi di lavoro offensivi, gli avversari eseguono lo stesso tipo di convalida per trovare vulnerabilità affidabili, raggiungibili e degne di essere concatenate in un'intrusione. Se eseguita correttamente, la verifica dell'exploitabilità migliora la prioritizzazione, l'urgenza delle patch e la qualità della correzione.