La conferma del fornitore è il riconoscimento formale da parte del manutentore del software che un problema di sicurezza segnalato è reale e sufficientemente compreso da consentirne la definizione dell’ambito tecnico. Può chiarire le versioni interessate, la gravità, l’impatto e l’eventuale disponibilità di una correzione o di una soluzione alternativa. Una segnalazione o un punteggio di gravità, da soli, non permettono di stabilire questi dettagli.
Per chi si occupa di difesa, la conferma aiuta a distinguere un’affermazione preliminare da indicazioni autorevoli per la correzione. Nella gestione di una vulnerabilità reale, i team possono censire i sistemi esposti e preparare i test di aggiornamento in attesa della conferma, per poi usare l’avviso del manutentore per verificare l’ambito e applicare la correzione appropriata. Fino ad allora, è meglio evitare di presumere che tutte le versioni siano vulnerabili o che il problema sia stato risolto.