Il triage basato sull'esposizione è un metodo di prioritizzazione delle patch che classifica le vulnerabilità in base al rischio reale, non solo al punteggio di gravità. Si pone tre domande pratiche: il servizio vulnerabile è raggiungibile, il problema è oggetto di sfruttamento attivo e quanto è critico l'asset interessato? Un difetto su un server esposto a Internet o in un componente di rete ampiamente utilizzato merita in genere un'attenzione più rapida rispetto a un bug con lo stesso punteggio su un sistema isolato.
Questo è importante perché gli aggressori non sfruttano tutti i problemi ad alto CVSS nello stesso modo. Cercano servizi raggiungibili, controlli deboli e sistemi che possano portare a un accesso più ampio. I difensori usano il triage basato sull'esposizione per concentrare per primi le finestre di patch, le mitigazioni temporanee e il monitoraggio sui bersagli più esposti. È particolarmente utile quando le code di patch sono lunghe, perché trasforma la gestione delle vulnerabilità in un processo decisionale basato su sfruttabilità e impatto sul business, anziché su un semplice elenco di gravità.