EPSS: che cosa Le dice l'Exploit Prediction Scoring System

Che cos'è EPSS?

L'Exploit Prediction Scoring System (EPSS) è un modello basato sui dati che stima la probabilità che una CVE pubblicata venga sfruttata in the wild nei prossimi 30 giorni. È mantenuto dall'EPSS Special Interest Group di FIRST, lo stesso forum che pubblica CVSS. I punteggi sono generati da Empirical Security e pubblicati gratuitamente, senza registrazione.

Ogni giorno, ciascuna CVE pubblicata riceve due numeri:

• Probabilità, da 0 a 1. La probabilità stimata di attività di sfruttamento nei prossimi 30 giorni. 0,02 significa 2%.
• Percentile, da 0 a 1. La quota di tutte le CVE con punteggio che hanno una probabilità uguale o inferiore. Indica la posizione di una CVE in classifica, non quanto è probabile che venga sfruttata.

I punteggi si muovono. Una CVE può restare vicina allo zero per mesi e balzare in alto da un giorno all'altro quando viene pubblicato codice di exploit o vengono osservati attacchi, quindi li legga ogni giorno e non una sola volta al triage.

Come viene calcolato EPSS

EPSS è un modello di machine learning addestrato sullo sfruttamento osservato. FIRST descrive circa 2.850 feature di input suddivise in cinque gruppi:

• Codice di exploit e strumenti: exploit pubblici, framework di sfruttamento, template per scanner.
• Discussioni: menzioni da parte di vendor di sicurezza, programmi di divulgazione e aggregatori.
• Caratteristiche della vulnerabilità: le singole metriche CVSS e i tag ricavati dalla descrizione. Il punteggio CVSS in sé non viene usato.
• Età e riferimenti: quanto è vecchia la CVE e quanti riferimenti ha.
• Attività di sfruttamento: telemetria sui malware, honeypot, rilevamento delle intrusioni e threat intelligence fornita da partner di dati.

Il modello attuale è EPSS v5 (v2026.06.15), pubblicato dal 15 giugno 2026. Le versioni precedenti erano v4 (marzo 2025), v3 (marzo 2023) e v2 (febbraio 2022). FIRST riaddestra il modello quando le prestazioni peggiorano, non secondo un calendario fisso.

EPSS vs CVSS

	EPSS	CVSS
Misura	Probabilità di sfruttamento nei prossimi 30 giorni	Gravità in caso di sfruttamento
Scala	Probabilità da 0 a 1, più un percentile	Da 0 a 10, con livelli di gravità
Variazioni	Ogni giorno, al variare dei dati sulle minacce	Raramente; il punteggio base è fisso per ogni CVE
Prodotto da	Un modello addestrato sullo sfruttamento osservato	Giudizio di esperti in base a una specifica
Versione attuale	v5 (2026)	4.0 (2023)

FIRST è chiara sul fatto che i due non sono intercambiabili. I punteggi base CVSS misurano la gravità, non il rischio, e non dovrebbero essere usati da soli per dare priorità alle patch. EPSS non è un punteggio di gravità, e nemmeno un punteggio di rischio completo. E moltiplicarli tra loro, avverte FIRST, non è mai una buona idea: uno è una probabilità calibrata, l'altro una classifica ordinale. Li usi fianco a fianco.

Soglie EPSS

EPSS non ha una soglia ufficiale. FIRST pubblica punti di riferimento che aiutano a sceglierne una:

Probabilità EPSS	Indicativamente
0,10 (10%)	95° percentile. Citata spesso, ma senza alcuna autorità particolare da parte di EPSS.
0,04 (4%)	90° percentile. Una coda di dimensioni simili a quella che darebbero le CVE con CVSS critico.
0,008 (0,8%)	Circa il primo 48%. Una coda di dimensioni simili a quella delle CVE con CVSS alto e critico insieme.
0,007 (0,7%)	La mediana. Metà di tutte le CVE ha un punteggio inferiore.

Parta dalla capacità e proceda a ritroso. Se il Suo team riesce a gestire cinquanta risultati urgenti al mese, scelga la soglia che ne produce circa cinquanta nel software che distribuisce.

Come usare EPSS per la prioritizzazione

1. Parta dallo sfruttamento confermato. Una CVE presente nel catalogo KEV di CISA è già sfruttata. La stessa FIRST afferma che uno sfruttamento recente e confermato è di per sé un segnale forte, qualunque sia il punteggio.
2. Classifichi il resto per EPSS, partendo da ciò che supera la soglia scelta.
3. Risolva i casi di parità con CVSS e con il Suo contesto: se il componente viene distribuito, se è esposto e quanto è importante il prodotto.
4. Riclassifichi ogni giorno, perché EPSS fa lo stesso.

Il metodo completo, con il ruolo di SSVC e della raggiungibilità, è descritto in prioritizzazione delle vulnerabilità.

I limiti di EPSS

• Non conosce il Suo ambiente. Un punteggio alto dice che la CVE ha buone probabilità di essere sfruttata da qualche parte, non che il codice vulnerabile sia presente, raggiungibile o importante nel Suo prodotto.
• Solo CVE pubblicate. Le vulnerabilità senza CVE e gli ID CVE riservati non ricevono alcun punteggio.
• È una previsione. I punteggi bassi non sono garanzie, ed è per questo che KEV e le altre evidenze di sfruttamento vengono prima.

Come ottenere i punteggi EPSS

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 restituisce la probabilità e il percentile attuali. Aggiunga &scope=time-series per la cronologia. L'API è pensata per le singole consultazioni, non per l'accesso massivo.
• CSV giornaliero: l'elenco completo dei punteggi, aggiornato poco dopo le 13:30 UTC, con un archivio che risale al 2021.
• I Suoi strumenti: molti scanner e piattaforme di gestione delle vulnerabilità mostrano EPSS accanto ai risultati, tra cui Grype, Dependency-Track, Tenable e Qualys.

EPSS ha bisogno di un inventario accurato

Un punteggio EPSS classifica una CVE. Non può dirLe se Lei distribuisce il pacchetto interessato. Questo lo dice il Suo inventario, e uno scanner che legge i lockfile segnala dipendenze di sviluppo che non vengono mai distribuite, mentre non vede i pacchetti che la build ha scaricato al di fuori del package manager.

CRACI registra i pacchetti effettivamente scaricati da ciascun job GitHub Actions, comprese le dipendenze transitive, i pacchetti ripristinati dalle cache e le dipendenze nascoste che nessun lockfile elenca, e rivaluta di continuo le SBOM monitorate. La cronologia delle build mostra quali build passate contenevano una dipendenza vulnerabile, così quando il punteggio di una CVE balza in alto Lei sa quali release la contengono. Veda il tracciamento delle vulnerabilità.

EPSS: domande frequenti

Che cos'è EPSS?

EPSS, l'Exploit Prediction Scoring System, è un modello di machine learning mantenuto da FIRST che stima la probabilità che una CVE pubblicata venga sfruttata in the wild nei prossimi 30 giorni. I punteggi sono pubblicati ogni giorno, per ogni CVE, gratuitamente.

Che cos'è un buon punteggio EPSS?

Non esiste una soglia universale. Secondo FIRST, una probabilità di circa 0,04 (4%) si colloca intorno al 90° percentile, all'incirca la quota di CVE che CVSS classificherebbe come critiche, e 0,10 (10%) si colloca intorno al 95° percentile. Il punteggio medio è di circa il 2,8% e la mediana di circa lo 0,7%. Scelga la soglia che dà al Suo team una coda che riesce a smaltire.

Qual è la differenza tra probabilità e percentile EPSS?

La probabilità è la stima del modello che la CVE venga sfruttata nei prossimi 30 giorni. Il percentile colloca quella probabilità rispetto a tutte le altre CVE con punteggio. Una probabilità di 0,05 può corrispondere a un percentile alto, perché la maggior parte delle CVE ha punteggi molto più bassi.

Devo moltiplicare EPSS per CVSS?

No. FIRST afferma che moltiplicarli non dà mai probabilità per gravità, perché EPSS è una probabilità calibrata e CVSS una classifica ordinale. Li usi invece fianco a fianco: EPSS per la probabilità, CVSS per la gravità.

Qual è la versione attuale di EPSS?

EPSS v5 (modello v2026.06.15), pubblicato dal 15 giugno 2026. FIRST riaddestra il modello quando le sue prestazioni peggiorano, cosa che storicamente è avvenuta circa una volta l'anno.

Come si ottengono i punteggi EPSS?

Interroghi l'API di FIRST, ad esempio https://api.first.org/data/v1/epss?cve=CVE-2021-44228, oppure scarichi il CSV giornaliero con tutti i punteggi. Non serve alcuna registrazione. Anche molti scanner, tra cui Grype, mostrano EPSS accanto ai risultati.