EPSS: hvad Exploit Prediction Scoring System fortæller dig

Hvad er EPSS?

Exploit Prediction Scoring System (EPSS) er en datadrevet model, der anslår sandsynligheden for, at en offentliggjort CVE bliver udnyttet i praksis inden for de næste 30 dage. Den vedligeholdes af EPSS Special Interest Group hos FIRST, det samme forum, der udgiver CVSS. Scorerne genereres af Empirical Security og offentliggøres gratis, uden registrering.

Hver dag får hver offentliggjort CVE to tal:

• Sandsynlighed, fra 0 til 1. Den anslåede chance for udnyttelsesaktivitet inden for de næste 30 dage. 0,02 betyder 2 %.
• Percentil, fra 0 til 1. Andelen af alle scorede CVE'er med samme eller lavere sandsynlighed. Den fortæller dig, hvor en CVE ligger i rangeringen, ikke hvor sandsynligt det er, at den bliver udnyttet.

Scorerne flytter sig. En CVE kan ligge tæt på nul i månedsvis og springe op fra den ene dag til den anden, når exploit-kode offentliggøres, eller angreb observeres, så læs dem dagligt i stedet for én gang ved triage.

Sådan beregnes EPSS

EPSS er en machine learning-model trænet på observeret udnyttelse. FIRST beskriver omkring 2.850 input-features i fem grupper:

• Exploit-kode og værktøjer: offentlige exploits, exploitation-frameworks, scannerskabeloner.
• Omtale: omtale fra sikkerhedsleverandører, disclosure-programmer og aggregatorer.
• Sårbarhedens egenskaber: de enkelte CVSS-metrikker og tags fra beskrivelsen. Selve CVSS-scoren bruges ikke.
• Alder og referencer: hvor gammel CVE'en er, og hvor mange referencer den har.
• Udnyttelsesaktivitet: malware-telemetri, honeypots, indtrængningsdetektion og trusselsefterretninger fra datapartnere.

Den aktuelle model er EPSS v5 (v2026.06.15), offentliggjort siden 15. juni 2026. Tidligere versioner var v4 (marts 2025), v3 (marts 2023) og v2 (februar 2022). FIRST gentræner, når ydeevnen falder, ikke efter en fast kalender.

EPSS vs CVSS

	EPSS	CVSS
Måler	Sandsynligheden for udnyttelse inden for de næste 30 dage	Alvorlighed, hvis den bliver udnyttet
Skala	Sandsynlighed fra 0 til 1 plus en percentil	0 til 10, med alvorlighedsvurderinger
Ændrer sig	Dagligt, efterhånden som trusselsdata ændrer sig	Sjældent; base-scoren er fast for hver CVE
Produceres af	En model trænet på observeret udnyttelse	Eksperters vurdering ud fra en specifikation
Aktuel version	v5 (2026)	4.0 (2023)

FIRST er tydelig om, at de to ikke kan erstatte hinanden. CVSS-base-scores måler alvorlighed, ikke risiko, og bør ikke bruges alene til at prioritere patches. EPSS er heller ikke en alvorlighedsscore og ikke en komplet risikoscore. Og at gange dem med hinanden er, advarer FIRST, aldrig en god idé: Den ene er en kalibreret sandsynlighed, den anden en ordinal rangering. Brug dem side om side.

EPSS-tærskler

EPSS har ingen officiel grænseværdi. FIRST offentliggør referencepunkter, der hjælper dig med at vælge en:

EPSS-sandsynlighed	Omtrent
0,10 (10 %)	95. percentil. Citeres ofte, men har ingen særlig autoritet fra EPSS.
0,04 (4 %)	90. percentil. En kø på omtrent samme størrelse som den, CVSS critical ville give dig.
0,008 (0,8 %)	Omkring de øverste 48 %. En kø på omtrent samme størrelse som CVSS high og critical tilsammen.
0,007 (0,7 %)	Medianen. Halvdelen af alle CVE'er scorer lavere.

Regn baglæns fra din kapacitet. Kan dit team håndtere 50 hastende fund om måneden, så vælg den tærskel, der giver omkring 50 i den software, du leverer.

Sådan bruger du EPSS til prioritering

1. Start med bekræftet udnyttelse. En CVE i CISA's KEV-katalog bliver allerede udnyttet. FIRST siger selv, at nylig bekræftet udnyttelse er et stærkt signal i sig selv, uanset scoren.
2. Rangér resten efter EPSS, først dem over din valgte tærskel.
3. Afgør lige stillinger med CVSS og din kontekst: om komponenten bliver leveret, om den er eksponeret, og hvor vigtigt produktet er.
4. Rangér igen dagligt, for det gør EPSS.

Hele metoden, og hvor SSVC og reachability passer ind, finder du i prioritering af sårbarheder.

EPSS' begrænsninger

• Den kender ikke dit miljø. En høj score siger, at CVE'en sandsynligvis bliver udnyttet et eller andet sted, ikke at den sårbare kode er til stede, kan nås eller er vigtig i dit produkt.
• Kun offentliggjorte CVE'er. Sårbarheder uden en CVE og reserverede CVE-id'er får ingen score.
• Den er en prognose. Lave scores er ingen garanti, og derfor kommer KEV og andre tegn på udnyttelse først.

Sådan får du EPSS-scores

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 returnerer den aktuelle sandsynlighed og percentil. Tilføj &scope=time-series for at få historikken. API'et er beregnet til opslag, ikke masseadgang.
• Daglig CSV: den fulde liste over scores, opdateret kort efter 13:30 UTC, med et arkiv tilbage til 2021.
• Dine værktøjer: Mange scannere og platforme til sårbarhedsstyring viser EPSS ved siden af deres fund, blandt andre Grype, Dependency-Track, Tenable og Qualys.

EPSS kræver en præcis fortegnelse

En EPSS-score rangerer en CVE. Den kan ikke fortælle dig, om du leverer den berørte pakke. Det kommer fra din fortegnelse, og en scanner, der læser lockfiles, rapporterer udviklingsafhængigheder, der aldrig bliver leveret, og overser pakker, buildet downloadede uden om pakkehåndteringen.

CRACI registrerer de pakker, hvert GitHub Actions-job faktisk hentede, inklusive transitive afhængigheder, pakker gendannet fra caches og skjulte afhængigheder, som ingen lockfile angiver, og genvurderer løbende overvågede SBOM'er. Build-historikken viser, hvilke tidligere builds der indeholdt en sårbar afhængighed, så du ved, hvilke releases der bærer en CVE, når dens score springer. Se sårbarhedssporing.

EPSS: ofte stillede spørgsmål

Hvad er EPSS?

EPSS, Exploit Prediction Scoring System, er en machine learning-model vedligeholdt af FIRST, der anslår sandsynligheden for, at en offentliggjort CVE bliver udnyttet i praksis inden for de næste 30 dage. Scores offentliggøres dagligt, for hver CVE, gratis.

Hvad er en god EPSS-score?

Der findes ingen universel grænseværdi. FIRST siger, at en sandsynlighed på omkring 0,04 (4 %) ligger omkring 90. percentil, omtrent den andel af CVE'er, CVSS ville vurdere som critical, og at 0,10 (10 %) ligger omkring 95. percentil. Gennemsnitsscoren er omkring 2,8 % og medianen omkring 0,7 %. Vælg den tærskel, der giver dit team en kø, det kan nå igennem.

Hvad er forskellen på EPSS-sandsynlighed og -percentil?

Sandsynligheden er modellens vurdering af, at CVE'en bliver udnyttet inden for de næste 30 dage. Percentilen rangerer den sandsynlighed i forhold til alle andre scorede CVE'er. En sandsynlighed på 0,05 kan være en høj percentil, fordi de fleste CVE'er scorer langt lavere.

Skal jeg gange EPSS med CVSS?

Nej. FIRST siger, at det at gange de to aldrig giver sandsynlighed gange alvorlighed, fordi EPSS er en kalibreret sandsynlighed, og CVSS er en ordinal rangering. Brug dem i stedet side om side: EPSS for sandsynlighed, CVSS for alvorlighed.

Hvad er den aktuelle EPSS-version?

EPSS v5 (model v2026.06.15), offentliggjort siden 15. juni 2026. FIRST gentræner modellen, når dens ydeevne falder, hvilket historisk har været omkring én gang om året.

Hvordan får jeg EPSS-scores?

Forespørg FIRST's API, for eksempel https://api.first.org/data/v1/epss?cve=CVE-2021-44228, eller download den daglige CSV med alle scores. Der kræves ingen registrering. Mange scannere, blandt andre Grype, viser også EPSS ved siden af deres fund.