EPSS: Was Ihnen das Exploit Prediction Scoring System sagt

Was ist EPSS?

Das Exploit Prediction Scoring System (EPSS) ist ein datengetriebenes Modell, das die Wahrscheinlichkeit schätzt, dass eine veröffentlichte CVE in den nächsten 30 Tagen in freier Wildbahn ausgenutzt wird. Gepflegt wird es von der EPSS Special Interest Group bei FIRST, demselben Forum, das CVSS veröffentlicht. Die Werte erzeugt Empirical Security, und sie werden kostenlos und ohne Registrierung veröffentlicht.

Jede veröffentlichte CVE erhält täglich zwei Zahlen:

• Wahrscheinlichkeit, von 0 bis 1. Die geschätzte Chance auf Ausnutzungsaktivität in den nächsten 30 Tagen. 0,02 bedeutet 2 %.
• Perzentil, von 0 bis 1. Der Anteil aller bewerteten CVEs mit gleicher oder niedrigerer Wahrscheinlichkeit. Es zeigt, wo eine CVE in der Rangfolge steht, nicht wie wahrscheinlich ihre Ausnutzung ist.

Die Werte bewegen sich. Eine CVE kann monatelang nahe null liegen und über Nacht springen, wenn Exploit-Code veröffentlicht oder Angriffe beobachtet werden. Lesen Sie die Werte daher täglich und nicht nur einmal bei der Triage.

Wie EPSS berechnet wird

EPSS ist ein Machine-Learning-Modell, das mit beobachteter Ausnutzung trainiert wird. FIRST beschreibt rund 2.850 Eingabemerkmale in fünf Gruppen:

• Exploit-Code und Tools: öffentliche Exploits, Exploit-Frameworks, Scanner-Vorlagen.
• Erwähnungen: Nennungen durch Sicherheitsanbieter, Offenlegungsprogramme und Aggregatoren.
• Merkmale der Schwachstelle: die einzelnen CVSS-Metriken und Tags aus der Beschreibung. Der CVSS-Wert selbst wird nicht verwendet.
• Alter und Referenzen: wie alt die CVE ist und wie viele Referenzen sie hat.
• Ausnutzungsaktivität: Malware-Telemetrie, Honeypots, Intrusion Detection und Threat Intelligence von Datenpartnern.

Das aktuelle Modell ist EPSS v5 (v2026.06.15), veröffentlicht seit dem 15. Juni 2026. Frühere Versionen waren v4 (März 2025), v3 (März 2023) und v2 (Februar 2022). FIRST trainiert neu, wenn die Leistung nachlässt, nicht nach festem Kalender.

EPSS vs. CVSS

	EPSS	CVSS
Misst	Wahrscheinlichkeit der Ausnutzung in den nächsten 30 Tagen	Schweregrad bei Ausnutzung
Skala	Wahrscheinlichkeit von 0 bis 1, dazu ein Perzentil	0 bis 10, mit Schweregradstufen
Änderungen	Täglich, wenn sich Bedrohungsdaten ändern	Selten; der Basiswert steht pro CVE fest
Erstellt durch	Ein Modell, das mit beobachteter Ausnutzung trainiert wurde	Expertenurteil anhand einer Spezifikation
Aktuelle Version	v5 (2026)	4.0 (2023)

FIRST stellt klar, dass die beiden nicht austauschbar sind. CVSS-Basiswerte messen den Schweregrad, nicht das Risiko, und sollten nicht allein zur Patch-Priorisierung dienen. EPSS ist kein Schweregradwert und auch kein vollständiger Risikowert. Und beide miteinander zu multiplizieren ist laut FIRST nie eine gute Idee: Das eine ist eine kalibrierte Wahrscheinlichkeit, das andere eine ordinale Rangfolge. Nutzen Sie sie nebeneinander.

EPSS-Schwellenwerte

EPSS hat keinen offiziellen Grenzwert. FIRST veröffentlicht Bezugspunkte, die Ihnen bei der Wahl helfen:

EPSS-Wahrscheinlichkeit	Ungefähr
0,10 (10 %)	95. Perzentil. Häufig zitiert, hat aber bei EPSS keine besondere Bedeutung.
0,04 (4 %)	90. Perzentil. Eine Warteschlange etwa so groß wie die, die CVSS critical ergäbe.
0,008 (0,8 %)	Etwa die obersten 48 %. Eine Warteschlange etwa so groß wie CVSS high und critical zusammen.
0,007 (0,7 %)	Der Median. Die Hälfte aller CVEs liegt darunter.

Rechnen Sie von Ihrer Kapazität aus zurück. Wenn Ihr Team fünfzig dringende Befunde im Monat bewältigen kann, wählen Sie den Schwellenwert, der in der von Ihnen ausgelieferten Software etwa fünfzig ergibt.

So nutzen Sie EPSS zur Priorisierung

1. Beginnen Sie mit bestätigter Ausnutzung. Eine CVE im KEV-Katalog von CISA wird bereits ausgenutzt. FIRST selbst sagt, dass kürzlich bestätigte Ausnutzung für sich genommen ein starkes Signal ist, unabhängig vom Wert.
2. Ordnen Sie den Rest nach EPSS, zuerst alles über Ihrem gewählten Schwellenwert.
3. Entscheiden Sie bei Gleichstand mit CVSS und Ihrem Kontext: ob die Komponente ausgeliefert wird, ob sie exponiert ist und wie wichtig das Produkt ist.
4. Ordnen Sie täglich neu, denn EPSS tut es auch.

Die vollständige Methode, samt der Rolle von SSVC und Erreichbarkeit, finden Sie unter Schwachstellen priorisieren.

Grenzen von EPSS

• Es kennt Ihre Umgebung nicht. Ein hoher Wert sagt, dass die CVE wahrscheinlich irgendwo ausgenutzt wird, nicht dass der verwundbare Code in Ihrem Produkt vorhanden, erreichbar oder wichtig ist.
• Nur veröffentlichte CVEs. Schwachstellen ohne CVE und reservierte CVE-IDs erhalten keinen Wert.
• Es ist eine Prognose. Niedrige Werte sind keine Garantie, deshalb gehen KEV und andere Belege für Ausnutzung vor.

So erhalten Sie EPSS-Werte

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 liefert die aktuelle Wahrscheinlichkeit und das Perzentil. Ergänzen Sie &scope=time-series für den Verlauf. Die API ist für Einzelabfragen gedacht, nicht für Massenzugriff.
• Tägliche CSV: die vollständige Liste der Werte, aktualisiert kurz nach 13:30 UTC, mit einem Archiv bis zurück ins Jahr 2021.
• Ihre Tools: Viele Scanner und Plattformen für Schwachstellenmanagement zeigen EPSS neben ihren Befunden an, darunter Grype, Dependency-Track, Tenable und Qualys.

EPSS braucht ein genaues Inventar

Ein EPSS-Wert ordnet eine CVE ein. Er kann Ihnen nicht sagen, ob Sie das betroffene Paket ausliefern. Das kommt aus Ihrem Inventar, und ein Scanner, der Lockfiles liest, meldet Entwicklungsabhängigkeiten, die nie ausgeliefert werden, und übersieht Pakete, die der Build außerhalb des Paketmanagers heruntergeladen hat.

CRACI zeichnet die Pakete auf, die jeder GitHub-Actions-Job tatsächlich geladen hat, einschließlich transitiver Abhängigkeiten, aus Caches wiederhergestellter Pakete und versteckter Abhängigkeiten, die kein Lockfile auflistet, und bewertet überwachte SBOMs laufend neu. Die Build-Historie zeigt, welche früheren Builds eine verwundbare Abhängigkeit enthielten, sodass Sie wissen, welche Releases sie enthalten, wenn der Wert einer CVE springt. Siehe Schwachstellenverfolgung.

EPSS: häufig gestellte Fragen

Was ist EPSS?

EPSS, das Exploit Prediction Scoring System, ist ein von FIRST gepflegtes Machine-Learning-Modell, das die Wahrscheinlichkeit schätzt, dass eine veröffentlichte CVE in den nächsten 30 Tagen in freier Wildbahn ausgenutzt wird. Die Werte werden täglich für jede CVE kostenlos veröffentlicht.

Was ist ein guter EPSS-Wert?

Es gibt keinen allgemeingültigen Grenzwert. Laut FIRST liegt eine Wahrscheinlichkeit von etwa 0,04 (4 %) ungefähr beim 90. Perzentil, grob dem Anteil der CVEs, die CVSS als critical einstufen würde, und 0,10 (10 %) ungefähr beim 95. Perzentil. Der Mittelwert liegt bei etwa 2,8 %, der Median bei etwa 0,7 %. Wählen Sie den Schwellenwert, der Ihrem Team eine Warteschlange gibt, die es abarbeiten kann.

Was ist der Unterschied zwischen EPSS-Wahrscheinlichkeit und Perzentil?

Die Wahrscheinlichkeit ist die Schätzung des Modells, dass die CVE in den nächsten 30 Tagen ausgenutzt wird. Das Perzentil setzt diese Wahrscheinlichkeit ins Verhältnis zu allen anderen bewerteten CVEs. Eine Wahrscheinlichkeit von 0,05 kann einem hohen Perzentil entsprechen, weil die meisten CVEs weit niedriger liegen.

Sollte ich EPSS mit CVSS multiplizieren?

Nein. Laut FIRST ergibt die Multiplikation der beiden nie Wahrscheinlichkeit mal Schweregrad, weil EPSS eine kalibrierte Wahrscheinlichkeit und CVSS eine ordinale Rangfolge ist. Nutzen Sie sie stattdessen nebeneinander: EPSS für die Wahrscheinlichkeit, CVSS für den Schweregrad.

Was ist die aktuelle EPSS-Version?

EPSS v5 (Modell v2026.06.15), veröffentlicht seit dem 15. Juni 2026. FIRST trainiert das Modell neu, wenn seine Leistung nachlässt, was bisher etwa einmal im Jahr der Fall war.

Wie erhalte ich EPSS-Werte?

Fragen Sie die FIRST-API ab, zum Beispiel https://api.first.org/data/v1/epss?cve=CVE-2021-44228, oder laden Sie die tägliche CSV mit allen Werten herunter. Eine Registrierung ist nicht nötig. Viele Scanner, darunter Grype, zeigen EPSS auch neben ihren Befunden an.