Nella gestione delle vulnerabilità, l'applicabilità è la questione se una vulnerabilità interessi uno specifico prodotto, versione, configurazione o implementazione. Una falla può avere un punteggio di gravità elevato, ma se il componente vulnerabile non è presente o la funzionalità interessata non è abilitata, potrebbe non essere applicabile a quel sistema.
L'applicabilità è importante perché i punteggi di gravità e le segnalazioni di exploit, da soli, non dimostrano l'esposizione locale. I difensori verificano gli inventari software, le versioni, le configurazioni e i dettagli dell'implementazione per determinare se una falla è presente e raggiungibile. I dati VEX possono comunicare questo stato in un formato leggibile dalle macchine. Confermare l'applicabilità aiuta i team a dare priorità alle esposizioni effettive, documentare le decisioni ed evitare di dedicare risorse a vulnerabilità che non interessano il loro ambiente.