EPSS : ce que vous dit l'Exploit Prediction Scoring System

Qu'est-ce qu'EPSS ?

L'Exploit Prediction Scoring System (EPSS) est un modèle fondé sur les données qui estime la probabilité qu'une CVE publiée soit exploitée en conditions réelles dans les 30 prochains jours. Il est maintenu par le Special Interest Group EPSS de FIRST, le forum qui publie aussi CVSS. Les scores sont générés par Empirical Security et publiés gratuitement, sans inscription.

Chaque jour, chaque CVE publiée reçoit deux valeurs :

• La probabilité, de 0 à 1. La probabilité estimée d'une activité d'exploitation dans les 30 prochains jours. 0,02 signifie 2 %.
• Le percentile, de 0 à 1. La part de toutes les CVE notées dont la probabilité est égale ou inférieure. Il indique le rang d'une CVE, pas sa probabilité d'être exploitée.

Les scores bougent. Une CVE peut rester proche de zéro pendant des mois et bondir du jour au lendemain lorsqu'un code d'exploitation est publié ou que des attaques sont observées : consultez-les donc chaque jour plutôt qu'une seule fois au tri.

Comment EPSS est calculé

EPSS est un modèle d'apprentissage automatique entraîné sur l'exploitation observée. FIRST décrit environ 2 850 variables d'entrée réparties en cinq groupes :

• Code d'exploitation et outillage : exploits publics, frameworks d'exploitation, modèles de scanners.
• Discussions : mentions par les éditeurs de sécurité, les programmes de divulgation et les agrégateurs.
• Caractéristiques de la vulnérabilité : les métriques CVSS individuelles et les tags tirés de la description. Le score CVSS lui-même n'est pas utilisé.
• Ancienneté et références : l'âge de la CVE et le nombre de ses références.
• Activité d'exploitation : télémétrie de malwares, honeypots, détection d'intrusion et renseignement sur les menaces provenant de partenaires de données.

Le modèle actuel est EPSS v5 (v2026.06.15), publié depuis le 15 juin 2026. Les versions précédentes étaient v4 (mars 2025), v3 (mars 2023) et v2 (février 2022). FIRST réentraîne le modèle lorsque ses performances se dégradent, et non selon un calendrier fixe.

EPSS vs CVSS

	EPSS	CVSS
Mesure	La probabilité d'exploitation dans les 30 prochains jours	La sévérité en cas d'exploitation
Échelle	Probabilité de 0 à 1, plus un percentile	De 0 à 10, avec des niveaux de sévérité
Évolution	Quotidienne, au gré des données sur les menaces	Rare ; le score de base est fixé par CVE
Produit par	Un modèle entraîné sur l'exploitation observée	Le jugement d'experts selon une spécification
Version actuelle	v5 (2026)	4.0 (2023)

FIRST est clair : les deux ne sont pas interchangeables. Les scores de base CVSS mesurent la sévérité, pas le risque, et ne doivent pas être utilisés seuls pour prioriser les correctifs. EPSS n'est ni un score de sévérité ni un score de risque complet. Et les multiplier entre eux, avertit FIRST, n'est jamais une bonne idée : l'un est une probabilité calibrée, l'autre un classement ordinal. Utilisez-les côte à côte.

Les seuils EPSS

EPSS n'a pas de seuil officiel. FIRST publie des points de repère qui aident à en choisir un :

Probabilité EPSS	Environ
0,10 (10 %)	95e percentile. Souvent cité, mais sans autorité particulière de la part d'EPSS.
0,04 (4 %)	90e percentile. Une file à peu près de la taille de celle que donnerait le niveau critique de CVSS.
0,008 (0,8 %)	Environ les 48 % supérieurs. Une file à peu près de la taille de celle des niveaux élevé et critique de CVSS réunis.
0,007 (0,7 %)	La médiane. La moitié des CVE ont un score inférieur.

Partez de votre capacité. Si votre équipe peut traiter cinquante résultats urgents par mois, choisissez le seuil qui en produit environ cinquante dans les logiciels que vous livrez.

Comment utiliser EPSS pour prioriser

1. Commencez par l'exploitation confirmée. Une CVE du catalogue KEV de la CISA est déjà exploitée. FIRST dit lui-même qu'une exploitation récente confirmée est en soi un signal fort, quel que soit le score.
2. Classez le reste par EPSS, en commençant par ce qui dépasse le seuil choisi.
3. Départagez avec CVSS et votre contexte : le composant est-il livré, est-il exposé, et quelle est l'importance du produit ?
4. Reclassez chaque jour, puisque EPSS change chaque jour.

La méthode complète, avec la place de SSVC et de l'atteignabilité, se trouve dans la priorisation des vulnérabilités.

Les limites d'EPSS

• Il ne connaît pas votre environnement. Un score élevé indique que la CVE sera probablement exploitée quelque part, et non que le code vulnérable est présent, atteignable ou important dans votre produit.
• Uniquement les CVE publiées. Les vulnérabilités sans CVE et les identifiants CVE réservés n'obtiennent aucun score.
• C'est une prévision. Un score faible n'est pas une garantie : c'est pourquoi KEV et les autres preuves d'exploitation passent en premier.

Comment obtenir les scores EPSS

• API : https://api.first.org/data/v1/epss?cve=CVE-2021-44228 renvoie la probabilité et le percentile actuels. Ajoutez &scope=time-series pour l'historique. L'API est conçue pour les recherches ponctuelles, pas pour un accès en masse.
• CSV quotidien : la liste complète des scores, mise à jour peu après 13 h 30 UTC, avec des archives remontant à 2021.
• Vos outils : de nombreux scanners et plateformes de gestion des vulnérabilités affichent EPSS à côté de leurs résultats, parmi lesquels Grype, Dependency-Track, Tenable et Qualys.

EPSS a besoin d'un inventaire exact

Un score EPSS classe une CVE. Il ne peut pas vous dire si vous livrez le paquet concerné. Cela vient de votre inventaire, et un scanner qui lit les lockfiles signale des dépendances de développement qui ne sont jamais livrées tout en ratant les paquets que le build a téléchargés en dehors du gestionnaire de paquets.

CRACI enregistre les paquets que chaque job GitHub Actions a réellement récupérés, y compris les dépendances transitives, les paquets restaurés depuis les caches et les dépendances cachées qu'aucun lockfile ne liste, et réévalue en continu les SBOM surveillées. L'historique des builds montre quels builds passés contenaient une dépendance vulnérable : lorsque le score d'une CVE bondit, vous savez donc quelles releases la contiennent. Voir le suivi des vulnérabilités.

EPSS : questions fréquentes

Qu'est-ce qu'EPSS ?

EPSS, l'Exploit Prediction Scoring System, est un modèle d'apprentissage automatique maintenu par FIRST qui estime la probabilité qu'une CVE publiée soit exploitée en conditions réelles dans les 30 prochains jours. Les scores sont publiés chaque jour, pour chaque CVE, gratuitement.

Qu'est-ce qu'un bon score EPSS ?

Il n'existe pas de seuil universel. Selon FIRST, une probabilité d'environ 0,04 (4 %) se situe autour du 90e percentile, soit à peu près la part de CVE que CVSS classerait comme critiques, et 0,10 (10 %) autour du 95e percentile. Le score moyen est d'environ 2,8 % et la médiane d'environ 0,7 %. Choisissez le seuil qui donne à votre équipe une file qu'elle peut écouler.

Quelle est la différence entre la probabilité et le percentile EPSS ?

La probabilité est l'estimation, par le modèle, du risque que la CVE soit exploitée dans les 30 prochains jours. Le percentile situe cette probabilité par rapport à toutes les autres CVE notées. Une probabilité de 0,05 peut correspondre à un percentile élevé, car la plupart des CVE ont un score bien plus bas.

Faut-il multiplier EPSS par CVSS ?

Non. Selon FIRST, multiplier les deux ne donne jamais la probabilité fois la sévérité, car EPSS est une probabilité calibrée et CVSS un classement ordinal. Utilisez-les plutôt côte à côte : EPSS pour la probabilité, CVSS pour la sévérité.

Quelle est la version actuelle d'EPSS ?

EPSS v5 (modèle v2026.06.15), publié depuis le 15 juin 2026. FIRST réentraîne le modèle lorsque ses performances se dégradent, ce qui s'est historiquement produit environ une fois par an.

Comment obtenir les scores EPSS ?

Interrogez l'API de FIRST, par exemple https://api.first.org/data/v1/epss?cve=CVE-2021-44228, ou téléchargez le CSV quotidien de tous les scores. Aucune inscription n'est nécessaire. De nombreux scanners, dont Grype, affichent aussi EPSS à côté de leurs résultats.