Una vulnerabilità divulgata pubblicamente è un difetto di sicurezza che è stato reso noto al pubblico tramite un avviso del fornitore, un'analisi di ricerca, una presentazione a conferenza, una voce CVE o un altro rapporto aperto. La divulgazione non significa che il difetto sia oggetto di sfruttamento attivo, ma significa che aggressori, difensori e sviluppatori di strumenti possono tutti venirne a conoscenza rapidamente.
Questo è importante perché la conoscenza pubblica comprime la finestra di risposta. Una volta disponibili i dettagli, gli attori della minaccia possono fare il reverse engineering di proof of concept, scandire i sistemi interessati o trasformare la vulnerabilità in un'arma prima che molte organizzazioni applichino le patch. Per i difensori, la divulgazione pubblica è un segnale di triage: anche senza uno sfruttamento confermato, i servizi esposti su Internet, i sistemi di alto valore o i bug facili da sfruttare spesso risalgono nella coda delle priorità. I team di sicurezza in genere combinano lo stato di divulgazione con la sfruttabilità, la criticità delle risorse e le mitigazioni disponibili per decidere se applicare subito una patch, adottare controlli compensativi o aumentare il monitoraggio.