EPSS: lo que le dice el Exploit Prediction Scoring System

¿Qué es EPSS?

El Exploit Prediction Scoring System (EPSS) es un modelo basado en datos que estima la probabilidad de que una CVE publicada se explote en entornos reales en los próximos 30 días. Lo mantiene el EPSS Special Interest Group de FIRST, el mismo foro que publica CVSS. Las puntuaciones las genera Empirical Security y se publican de forma gratuita, sin registro.

Cada día, cada CVE publicada recibe dos números:

• Probabilidad, de 0 a 1. La probabilidad estimada de actividad de explotación en los próximos 30 días. 0,02 significa un 2 %.
• Percentil, de 0 a 1. La proporción de todas las CVE puntuadas con una probabilidad igual o inferior. Le indica en qué posición está una CVE, no la probabilidad de que se explote.

Las puntuaciones cambian. Una CVE puede pasar meses cerca de cero y dispararse de la noche a la mañana cuando se publica código de explotación o se observan ataques, así que conviene leerlas a diario y no una sola vez durante el triaje.

Cómo se calcula EPSS

EPSS es un modelo de aprendizaje automático entrenado con la explotación observada. FIRST describe unas 2.850 variables de entrada en cinco grupos:

• Código y herramientas de explotación: exploits públicos, frameworks de explotación, plantillas de escáneres.
• Menciones: referencias de proveedores de seguridad, programas de divulgación y agregadores.
• Características de la vulnerabilidad: las métricas individuales de CVSS y las etiquetas de la descripción. La propia puntuación CVSS no se utiliza.
• Antigüedad y referencias: qué antigüedad tiene la CVE y cuántas referencias acumula.
• Actividad de explotación: telemetría de malware, honeypots, detección de intrusiones e inteligencia de amenazas de socios de datos.

El modelo actual es EPSS v5 (v2026.06.15), que se publica desde el 15 de junio de 2026. Las versiones anteriores fueron v4 (marzo de 2025), v3 (marzo de 2023) y v2 (febrero de 2022). FIRST reentrena el modelo cuando su rendimiento se degrada, no según un calendario fijo.

EPSS vs CVSS

	EPSS	CVSS
Mide	Probabilidad de explotación en los próximos 30 días	Gravedad si se explota
Escala	Probabilidad de 0 a 1, más un percentil	De 0 a 10, con niveles de gravedad
Cambia	A diario, a medida que cambian los datos de amenazas	Rara vez; la puntuación base es fija para cada CVE
Quién la produce	Un modelo entrenado con la explotación observada	El juicio de expertos conforme a una especificación
Versión actual	v5 (2026)	4.0 (2023)

FIRST deja claro que no son intercambiables. Las puntuaciones base de CVSS miden la gravedad, no el riesgo, y no deben usarse solas para priorizar parches. EPSS tampoco es una puntuación de gravedad ni una puntuación de riesgo completa. Y multiplicarlas, advierte FIRST, nunca es buena idea: una es una probabilidad calibrada y la otra una clasificación ordinal. Utilícelas una al lado de la otra.

Umbrales de EPSS

EPSS no tiene un umbral oficial. FIRST publica puntos de referencia que ayudan a elegir uno:

Probabilidad EPSS	Aproximadamente
0,10 (10 %)	Percentil 95. Se cita a menudo, pero EPSS no le da ninguna autoridad especial.
0,04 (4 %)	Percentil 90. Una cola de un tamaño similar a la que daría CVSS crítico.
0,008 (0,8 %)	Aproximadamente el 48 % superior. Una cola de un tamaño similar a CVSS alto y crítico juntos.
0,007 (0,7 %)	La mediana. La mitad de todas las CVE puntúan por debajo.

Parta de su capacidad. Si su equipo puede gestionar cincuenta hallazgos urgentes al mes, elija el umbral que produzca unos cincuenta en el software que distribuye.

Cómo usar EPSS para priorizar

1. Empiece por la explotación confirmada. Una CVE del catálogo KEV de CISA ya se está explotando. El propio FIRST afirma que una explotación confirmada reciente es una señal sólida por sí misma, sea cual sea la puntuación.
2. Clasifique el resto por EPSS, primero lo que supere el umbral elegido.
3. Desempate con CVSS y con su contexto: si el componente se distribuye, si está expuesto y qué importancia tiene el producto.
4. Reclasifique a diario, porque EPSS lo hace.

El método completo, con el lugar que ocupan SSVC y la alcanzabilidad, está en priorización de vulnerabilidades.

Límites de EPSS

• No conoce su entorno. Una puntuación alta indica que es probable que la CVE se explote en algún lugar, no que el código vulnerable esté presente, sea alcanzable o importe en su producto.
• Solo CVE publicadas. Las vulnerabilidades sin CVE y los identificadores de CVE reservados no reciben puntuación.
• Es una previsión. Una puntuación baja no es una garantía, y por eso KEV y otras pruebas de explotación van primero.

Cómo obtener puntuaciones EPSS

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 devuelve la probabilidad y el percentil actuales. Añada &scope=time-series para obtener el historial. La API está pensada para consultas puntuales, no para acceso masivo.
• CSV diario: la lista completa de puntuaciones, actualizada poco después de las 13:30 UTC, con un archivo que se remonta a 2021.
• Sus herramientas: muchos escáneres y plataformas de gestión de vulnerabilidades muestran EPSS junto a sus hallazgos, entre ellos Grype, Dependency-Track, Tenable y Qualys.

EPSS necesita un inventario preciso

Una puntuación EPSS clasifica una CVE. No puede decirle si usted distribuye el paquete afectado. Eso sale de su inventario, y un escáner que lee lockfiles indica dependencias de desarrollo que nunca se distribuyen, y se le escapan paquetes que el build descargó fuera del gestor de paquetes.

CRACI registra los paquetes que cada job de GitHub Actions descargó realmente, incluidas las dependencias transitivas, los paquetes restaurados desde cachés y las dependencias ocultas que ningún lockfile enumera, y reevalúa de forma continua las SBOM monitorizadas. El historial de builds muestra qué builds anteriores contenían una dependencia vulnerable, de modo que, cuando la puntuación de una CVE se dispara, usted sabe qué versiones la contienen. Consulte el seguimiento de vulnerabilidades.

EPSS: preguntas frecuentes

¿Qué es EPSS?

EPSS, el Exploit Prediction Scoring System, es un modelo de aprendizaje automático mantenido por FIRST que estima la probabilidad de que una CVE publicada se explote en entornos reales en los próximos 30 días. Las puntuaciones se publican a diario, para cada CVE, de forma gratuita.

¿Qué es una buena puntuación EPSS?

No hay un umbral universal. FIRST indica que una probabilidad de aproximadamente 0,04 (4 %) se sitúa en torno al percentil 90, más o menos la proporción de CVE que CVSS calificaría como críticas, y que 0,10 (10 %) se sitúa en torno al percentil 95. La puntuación media es de aproximadamente el 2,8 % y la mediana, de aproximadamente el 0,7 %. Elija el umbral que dé a su equipo una cola que pueda vaciar.

¿Cuál es la diferencia entre la probabilidad y el percentil de EPSS?

La probabilidad es la estimación del modelo de que la CVE se explote en los próximos 30 días. El percentil sitúa esa probabilidad frente a todas las demás CVE puntuadas. Una probabilidad de 0,05 puede corresponder a un percentil alto, porque la mayoría de las CVE puntúan mucho menos.

¿Debo multiplicar EPSS por CVSS?

No. FIRST indica que multiplicarlas nunca da como resultado probabilidad por gravedad, porque EPSS es una probabilidad calibrada y CVSS es una clasificación ordinal. Utilícelas una al lado de la otra: EPSS para la probabilidad y CVSS para la gravedad.

¿Cuál es la versión actual de EPSS?

EPSS v5 (modelo v2026.06.15), que se publica desde el 15 de junio de 2026. FIRST reentrena el modelo cuando su rendimiento se degrada, lo que históricamente ha ocurrido aproximadamente una vez al año.

¿Cómo obtengo puntuaciones EPSS?

Consulte la API de FIRST, por ejemplo https://api.first.org/data/v1/epss?cve=CVE-2021-44228, o descargue el CSV diario con todas las puntuaciones. No hace falta registrarse. Muchos escáneres, incluido Grype, también muestran EPSS junto a sus hallazgos.