Una vulnerabilità sfruttata attivamente è un difetto software o hardware che gli aggressori stanno utilizzando in operazioni reali, non solo uno che esiste sulla carta o in laboratorio. Lo sfruttamento può prendere di mira servizi esposti su Internet, endpoint o componenti della supply chain, e può coinvolgere qualsiasi cosa, dall'esecuzione di codice remoto all'escalation dei privilegi o al furto di dati.
Questo è importante perché un difetto sfruttato rappresenta un rischio immediatamente maggiore rispetto a uno dormiente. I difensori devono trattarlo come una minaccia attiva: verificare l'attività, preservare log ed evidenze, contenere i sistemi interessati e dare priorità alle patch o alle mitigazioni. In pratica, i team di sicurezza cercano indicatori come traffico sospetto, comportamento imprevisto dei processi, modelli di sfruttamento nella telemetria e la prova che un exploit funzioni contro versioni vulnerabili. Per le organizzazioni, sapere quando una vulnerabilità è sfruttata attivamente può anche attivare l'escalation interna, il flusso di risposta agli incidenti e gli obblighi di segnalazione.