EPSS: co vám říká Exploit Prediction Scoring System

Co je EPSS?

Exploit Prediction Scoring System (EPSS) je model založený na datech, který odhaduje pravděpodobnost, že zveřejněné CVE bude v příštích 30 dnech zneužito v reálném provozu. Spravuje ho EPSS Special Interest Group při FIRST, tedy stejném fóru, které vydává CVSS. Skóre generuje Empirical Security a zveřejňuje se zdarma, bez registrace.

Každý den dostane každé zveřejněné CVE dvě čísla:

• Pravděpodobnost, od 0 do 1. Odhadovaná šance na aktivitu zneužívání v příštích 30 dnech. 0,02 znamená 2 %.
• Percentil, od 0 do 1. Podíl všech ohodnocených CVE se stejnou nebo nižší pravděpodobností. Říká, kde se CVE v pořadí nachází, ne jak pravděpodobné je jeho zneužití.

Skóre se mění. CVE může měsíce ležet blízko nuly a přes noc vyskočit, když se zveřejní exploit nebo se zaznamenají útoky, takže je čtěte denně, ne jen jednou při triáži.

Jak se EPSS počítá

EPSS je model strojového učení trénovaný na pozorovaném zneužívání. FIRST popisuje zhruba 2 850 vstupních příznaků v pěti skupinách:

• Exploity a nástroje: veřejné exploity, frameworky pro zneužití, šablony skenerů.
• Zmínky: zmínky bezpečnostních dodavatelů, programů pro zveřejňování a agregátorů.
• Vlastnosti zranitelnosti: jednotlivé metriky CVSS a štítky z popisu. Samotné skóre CVSS se nepoužívá.
• Stáří a odkazy: jak staré CVE je a kolik má odkazů.
• Aktivita zneužívání: telemetrie malwaru, honeypoty, detekce průniků a threat intelligence od datových partnerů.

Aktuálním modelem je EPSS v5 (v2026.06.15), zveřejňovaný od 15. června 2026. Dřívější verze byly v4 (březen 2025), v3 (březen 2023) a v2 (únor 2022). FIRST model přetrénuje, když se zhorší jeho výkon, ne podle pevného kalendáře.

EPSS vs CVSS

	EPSS	CVSS
Měří	Pravděpodobnost zneužití v příštích 30 dnech	Závažnost v případě zneužití
Stupnice	Pravděpodobnost od 0 do 1 a k tomu percentil	0 až 10, se stupni závažnosti
Mění se	Denně, podle změn dat o hrozbách	Zřídka; základní skóre je pro každé CVE pevné
Vytváří ho	Model trénovaný na pozorovaném zneužívání	Odborný úsudek podle specifikace
Aktuální verze	v5 (2026)	4.0 (2023)

FIRST jasně říká, že obě metriky nejsou zaměnitelné. Základní skóre CVSS měří závažnost, ne riziko, a nemělo by se samo používat k určování priorit oprav. EPSS není skóre závažnosti a není ani úplným skóre rizika. A jejich vzájemné násobení podle FIRST nikdy není dobrý nápad: jedno je kalibrovaná pravděpodobnost, druhé ordinální pořadí. Používejte je vedle sebe.

Prahy EPSS

EPSS nemá žádnou oficiální hranici. FIRST zveřejňuje referenční body, které vám ji pomohou zvolit:

Pravděpodobnost EPSS	Přibližně
0,10 (10 %)	95. percentil. Často uváděný, ale ze strany EPSS bez zvláštní autority.
0,04 (4 %)	90. percentil. Fronta zhruba stejně velká jako ta, kterou by vám dalo CVSS critical.
0,008 (0,8 %)	Zhruba horních 48 %. Fronta zhruba stejně velká jako CVSS high a critical dohromady.
0,007 (0,7 %)	Medián. Polovina všech CVE má nižší skóre.

Vycházejte z kapacity. Pokud váš tým zvládne padesát naléhavých nálezů měsíčně, zvolte práh, který jich v softwaru, který dodáváte, vytvoří zhruba padesát.

Jak používat EPSS k určování priorit

1. Začněte potvrzeným zneužíváním. CVE v katalogu KEV od CISA se už zneužívá. Sám FIRST říká, že nedávné potvrzené zneužití je silným signálem samo o sobě, bez ohledu na skóre.
2. Zbytek seřaďte podle EPSS, nejprve vše nad zvoleným prahem.
3. Shody rozhodněte podle CVSS a svého kontextu: zda se komponenta dodává, zda je vystavená a jak důležitý je produkt.
4. Pořadí aktualizujte denně, protože EPSS se mění denně.

Celý postup, včetně toho, kam zapadá SSVC a dosažitelnost, popisuje stránka určování priorit zranitelností.

Limity EPSS

• Nezná vaše prostředí. Vysoké skóre říká, že CVE bude pravděpodobně někde zneužito, ne že je zranitelný kód ve vašem produktu přítomen, dosažitelný nebo důležitý.
• Jen zveřejněná CVE. Zranitelnosti bez CVE a rezervovaná ID CVE skóre nedostávají.
• Je to předpověď. Nízké skóre není zárukou, a proto mají přednost KEV a další důkazy o zneužívání.

Jak získat skóre EPSS

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 vrací aktuální pravděpodobnost a percentil. Pro historii přidejte &scope=time-series. API je určené pro jednotlivé dotazy, ne pro hromadný přístup.
• Denní CSV: úplný seznam skóre, aktualizovaný krátce po 13:30 UTC, s archivem zpět do roku 2021.
• Vaše nástroje: mnoho skenerů a platforem pro správu zranitelností zobrazuje EPSS vedle svých nálezů, mezi nimi Grype, Dependency-Track, Tenable a Qualys.

EPSS potřebuje přesný inventář

Skóre EPSS řadí CVE. Neřekne vám, zda dotčený balíček dodáváte. To zjistíte ze svého inventáře, a skener, který čte lockfily, hlásí vývojové závislosti, které se nikdy nedodávají, a přitom přehlíží balíčky, které build stáhl mimo správce balíčků.

CRACI zaznamenává balíčky, které každý job GitHub Actions skutečně stáhl, včetně tranzitivních závislostí, balíčků obnovených z cache a skrytých závislostí, které neuvádí žádný lockfile, a monitorované SBOM průběžně znovu vyhodnocuje. Historie buildů ukazuje, které dřívější buildy obsahovaly zranitelnou závislost, takže když skóre CVE vyskočí, víte, která vydání ji obsahují. Viz sledování zranitelností.

EPSS: časté dotazy

Co je EPSS?

EPSS, Exploit Prediction Scoring System, je model strojového učení spravovaný organizací FIRST, který odhaduje pravděpodobnost, že zveřejněné CVE bude v příštích 30 dnech zneužito v reálném provozu. Skóre se zveřejňuje denně, pro každé CVE, zdarma.

Jaké skóre EPSS je dobré?

Univerzální hranice neexistuje. Podle FIRST leží pravděpodobnost kolem 0,04 (4 %) zhruba na 90. percentilu, což přibližně odpovídá podílu CVE, které by CVSS hodnotilo jako critical, a 0,10 (10 %) zhruba na 95. percentilu. Průměrné skóre je asi 2,8 % a medián asi 0,7 %. Zvolte práh, který vašemu týmu dá frontu, kterou dokáže zpracovat.

Jaký je rozdíl mezi pravděpodobností a percentilem EPSS?

Pravděpodobnost je odhad modelu, že CVE bude zneužito v příštích 30 dnech. Percentil tuto pravděpodobnost řadí vůči všem ostatním ohodnoceným CVE. Pravděpodobnost 0,05 může znamenat vysoký percentil, protože většina CVE má skóre mnohem nižší.

Mám EPSS násobit CVSS?

Ne. FIRST uvádí, že vynásobením obou nikdy nevznikne pravděpodobnost krát závažnost, protože EPSS je kalibrovaná pravděpodobnost a CVSS ordinální pořadí. Používejte je raději vedle sebe: EPSS pro pravděpodobnost, CVSS pro závažnost.

Jaká je aktuální verze EPSS?

EPSS v5 (model v2026.06.15), zveřejňovaný od 15. června 2026. FIRST model přetrénuje, když se zhorší jeho výkon, což bylo historicky zhruba jednou ročně.

Jak získám skóre EPSS?

Dotazujte se na API FIRST, například https://api.first.org/data/v1/epss?cve=CVE-2021-44228, nebo si stáhněte denní CSV se všemi skóre. Registrace není potřeba. Mnoho skenerů, včetně Grype, zobrazuje EPSS také vedle svých nálezů.