Buscá un CVE y mirá si se está explotando.

Si la fuente lo marca como explotado, se indica así. Eso no significa que una organización concreta esté comprometida.