Eclypsiumは、CVSSスコアではなく、脆弱性の悪用可能性、露出度、現実的なリスクを基準にインフラセキュリティを評価するアプローチを提案している。2026年7月のInfraTrust Pulseレポートでは、14のベンダーから提供された61のインフラ警告を分析。そのうち26件は認証不要でリモートから悪用可能な脆弱性を含んでいた。

レポートは、SonicWall SMA1000デバイスに存在するCVE-2026-15409とCVE-2026-15410を特に強調。これらの脆弱性は、ベンダーが修正を発表する前から悪意ある攻撃者によって既に悪用されていた。同様に、FortinetとDellの機器に見られるが、CISAの既知の悪用脆弱性リストに追加された古くからの脆弱性も、優先的な修正が求められている。

ファームウェアやハードウェアレベルの脆弱性は、HP PolyビデオデバイスのQualcomm GPUドライバーに存在するCVE-2026-21385などの事例から、修正が遅れていることが示されている。こうした脆弱性は、インフラ機器の長寿命化により長期間開いたままになり、攻撃面を拡大している。