Una vulnerabilità verificata è una falla di sicurezza che è stata controllata e confermata come esistente, anziché dedotta da una scansione, da una regola o da un'analisi teorica. La verifica può comportare la riproduzione del bug, la conferma del percorso di codice interessato o la dimostrazione che la debolezza può effettivamente essere attivata.
Questo è importante perché i team di sicurezza devono distinguere il rischio reale dai falsi positivi. In difesa, le segnalazioni verificate sono più facili da triage, da assegnare una priorità e da affidare per la correzione. Nei test offensivi, la verifica aiuta gli analisti a dimostrare l'exploitability prima di segnalare una falla o di concatenarla in un attacco. La ricerca su larga scala assistita dall'IA può produrre molte segnalazioni, ma solo le vulnerabilità verificate dovrebbero entrare nelle code di patch, perché i problemi confermati sono ciò che guida l'esposizione, lo sviluppo di exploit e la pianificazione della risposta.