simonebortolin Prima cosa si annuncia che c'è una falla e gli si attribuisce una CVE. Dopo di che si fixa e si danno dettagli sulla falla.
Dipende. Se la vulnerabilità è stata scoperta da ricercatori responsabile, comunicata in via privata, e non ci sono evidenze che qualcuno la stia già sfruttando, è possibile che il CVE sia assegnato assieme alla disponibilità della fix. Ad esempio quello che è successo con Meltdown/Spectre dove è stato mantenuto tutto sotto embargo finché The Register non ne rivelò l'esistenza, ma ormai le patch stavano arrivando.
Se però come in questo caso la vulnerabilità è già usata da qualcuno (anche solo per quello che sembrano dei DoS...), esistono delle mitigazioni e non hai un fix immediatamente disponibile, allora è inutile fare lo gnorri, e ne comunichi l'esistenza (senza troppi dettagli, se non sono già noti), e indichi come mitigarla. Vedi ad esempio https://nvd.nist.gov/vuln/detail/CVE-2023-20269
PippoGi
Infatti l'ultimo bug di iOS è usato da Pegasus per infettare telefoni - con significativi rischi per gli attaccati - e Apple ha dovuto correre rapidamente ai ripari.
