What is the key difference between a vulnerability and an exploit?

Đáp án đúng: "Vulnerabilities are weaknesses that can be exploited, while exploits are specific attacks targeting those vulnerabilities.". Điểm yếu (vulnerability) là chỗ hở trong phần mềm, cấu hình, quy trình hay con người mà mối đe doạ có thể tận dụng; khai thác (exploit) là hành động hay cuộc tấn công cụ thể tận dụng đúng điểm yếu đó, nên rủi ro chỉ thành hiện thực khi có một exploit nhắm vào một vulnerability còn mở. Phát biểu "Vulnerabilities are external threats" sai vì điểm yếu nằm bên trong hệ thống, còn mối đe doạ mới có thể đến từ bên ngoài. Phát biểu "Vulnerabilities are known flaws in software or systems" quá hẹp vì có điểm yếu chưa ai biết (zero-day) và điểm yếu không nằm ở phần mềm, đồng thời gọi exploit là công cụ thì bỏ sót bản chất nó là cuộc tấn công. Phát biểu "Vulnerabilities are hypothetical risks" sai vì điểm yếu là có thật ngay cả khi chưa bị khai thác, và exploit không đồng nghĩa với một sự cố an ninh đã xảy ra.