La gestione delle vulnerabilità basata sul rischio è una strategia di patching che classifica i difetti in base al pericolo reale, non solo in base all'ordine di scansione. Valuta fattori come l'esposizione a Internet, la sfruttabilità, il valore dell'asset e se una debolezza è già in uso negli attacchi. L'obiettivo è correggere per primi i problemi più probabili di portare a una compromissione.
Questo è importante perché non ogni CVE critica merita la stessa urgenza in ogni ambiente. Un bug su un servizio di gestione esposto pubblicamente è di solito più urgente dello stesso bug su un host di test isolato. In pratica, i difensori usano inventari, controlli di esposizione, threat intelligence e segnali di exploit come gli elenchi KEV per decidere cosa patchare, isolare o monitorare per primo. Gli aggressori traggono vantaggio quando le organizzazioni trattano tutte le vulnerabilità come equivalenti; i difensori vincono quando concentrano il tempo limitato sui percorsi più probabilmente sfruttati.