EPSS: wat het Exploit Prediction Scoring System u vertelt

Wat is EPSS?

Het Exploit Prediction Scoring System (EPSS) is een datagedreven model dat de kans schat dat een gepubliceerde CVE in de komende 30 dagen in het wild wordt misbruikt. Het wordt onderhouden door de EPSS Special Interest Group bij FIRST, hetzelfde forum dat CVSS publiceert. De scores worden gegenereerd door Empirical Security en gratis gepubliceerd, zonder registratie.

Elke dag krijgt elke gepubliceerde CVE twee getallen:

• Kans, van 0 tot 1. De geschatte kans op misbruikactiviteit in de komende 30 dagen. 0,02 betekent 2%.
• Percentiel, van 0 tot 1. Het aandeel van alle gescoorde CVE's met dezelfde of een lagere kans. Het vertelt u waar een CVE in de rangschikking staat, niet hoe waarschijnlijk misbruik is.

Scores veranderen. Een CVE kan maandenlang rond nul hangen en van de ene op de andere dag omhoogschieten wanneer exploitcode wordt gepubliceerd of aanvallen worden waargenomen, dus lees ze dagelijks in plaats van eenmalig bij de triage.

Hoe EPSS wordt berekend

EPSS is een machine-learningmodel dat is getraind op waargenomen misbruik. FIRST beschrijft ongeveer 2.850 invoerkenmerken in vijf groepen:

• Exploitcode en tooling: openbare exploits, exploitatieframeworks, scannertemplates.
• Chatter: vermeldingen door beveiligingsleveranciers, disclosureprogramma's en aggregators.
• Kenmerken van de kwetsbaarheid: de afzonderlijke CVSS-metrics en tags uit de beschrijving. De CVSS-score zelf wordt niet gebruikt.
• Leeftijd en verwijzingen: hoe oud de CVE is en hoeveel verwijzingen die heeft.
• Misbruikactiviteit: malwaretelemetrie, honeypots, inbraakdetectie en threat intelligence van datapartners.

Het huidige model is EPSS v5 (v2026.06.15), gepubliceerd sinds 15 juni 2026. Eerdere versies waren v4 (maart 2025), v3 (maart 2023) en v2 (februari 2022). FIRST traint opnieuw wanneer de prestaties teruglopen, niet volgens een vaste kalender.

EPSS vs CVSS

	EPSS	CVSS
Meet	Waarschijnlijkheid van misbruik in de komende 30 dagen	Ernst als de kwetsbaarheid wordt misbruikt
Schaal	Kans van 0 tot 1, plus een percentiel	0 tot 10, met ernstclassificaties
Verandert	Dagelijks, wanneer dreigingsgegevens veranderen	Zelden; de basisscore ligt per CVE vast
Gemaakt door	Een model dat is getraind op waargenomen misbruik	Oordeel van experts op basis van een specificatie
Huidige versie	v5 (2026)	4.0 (2023)

FIRST is er duidelijk over dat de twee niet uitwisselbaar zijn. CVSS-basisscores meten ernst, geen risico, en moeten niet op zichzelf worden gebruikt om patches te prioriteren. EPSS is geen ernstscore en ook geen volledige risicoscore. En ze met elkaar vermenigvuldigen is volgens FIRST nooit een goed idee: de ene is een gekalibreerde kans, de andere een ordinale rangschikking. Gebruik ze naast elkaar.

EPSS-drempels

EPSS heeft geen officiële grenswaarde. FIRST publiceert referentiepunten die u helpen er een te kiezen:

EPSS-kans	Ongeveer
0,10 (10%)	95e percentiel. Vaak genoemd, maar EPSS kent er geen bijzonder gezag aan toe.
0,04 (4%)	90e percentiel. Een wachtrij van ongeveer dezelfde omvang als die van CVSS kritiek.
0,008 (0,8%)	Ongeveer de bovenste 48%. Een wachtrij van ongeveer de omvang van CVSS hoog en kritiek samen.
0,007 (0,7%)	De mediaan. De helft van alle CVE's scoort lager.

Redeneer terug vanuit uw capaciteit. Kan uw team vijftig urgente bevindingen per maand aan, kies dan de drempel die er ongeveer vijftig oplevert in de software die u levert.

Hoe u EPSS gebruikt voor prioritering

1. Begin met bevestigd misbruik. Een CVE in de KEV-catalogus van CISA wordt al misbruikt. FIRST zegt zelf dat recent bevestigd misbruik op zichzelf een sterk signaal is, wat de score ook is.
2. Rangschik de rest op EPSS, met eerst alles boven uw gekozen drempel.
3. Beslis bij gelijke stand met CVSS en uw context: of het component wordt geleverd, of het is blootgesteld en hoe belangrijk het product is.
4. Rangschik dagelijks opnieuw, want EPSS doet dat ook.

De volledige methode, inclusief de plaats van SSVC en reachability, staat in kwetsbaarheden prioriteren.

Beperkingen van EPSS

• Het kent uw omgeving niet. Een hoge score zegt dat de CVE waarschijnlijk ergens wordt misbruikt, niet dat de kwetsbare code in uw product aanwezig, bereikbaar of belangrijk is.
• Alleen gepubliceerde CVE's. Kwetsbaarheden zonder CVE en gereserveerde CVE-ID's krijgen geen score.
• Het is een voorspelling. Lage scores zijn geen garantie, en daarom komen KEV en ander bewijs van misbruik eerst.

Hoe u aan EPSS-scores komt

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 geeft de huidige kans en het percentiel terug. Voeg &scope=time-series toe voor de historie. De API is bedoeld om scores op te zoeken, niet voor bulktoegang.
• Dagelijkse CSV: de volledige lijst met scores, bijgewerkt kort na 13.30 uur UTC, met een archief terug tot 2021.
• Uw tools: veel scanners en platforms voor kwetsbaarheidsbeheer tonen EPSS naast hun bevindingen, waaronder Grype, Dependency-Track, Tenable en Qualys.

EPSS vraagt om een nauwkeurige inventaris

Een EPSS-score rangschikt een CVE. Hij kan u niet vertellen of u het getroffen pakket levert. Dat komt uit uw inventaris, en een scanner die lockfiles leest, rapporteert ontwikkelafhankelijkheden die nooit worden geleverd en mist pakketten die de build buiten de pakketbeheerder om heeft gedownload.

CRACI legt de pakketten vast die elke GitHub Actions-job daadwerkelijk heeft opgehaald, inclusief transitieve afhankelijkheden, pakketten die uit caches zijn teruggezet en verborgen afhankelijkheden die in geen enkele lockfile staan, en beoordeelt gemonitorde SBOM's doorlopend opnieuw. De buildhistorie toont welke eerdere builds een kwetsbare afhankelijkheid bevatten, zodat u, wanneer de score van een CVE omhoogschiet, weet welke releases die bevatten. Zie het volgen van kwetsbaarheden.

EPSS: veelgestelde vragen

Wat is EPSS?

EPSS, het Exploit Prediction Scoring System, is een machine-learningmodel dat wordt onderhouden door FIRST en de kans schat dat een gepubliceerde CVE in de komende 30 dagen in het wild wordt misbruikt. Scores worden dagelijks gepubliceerd, voor elke CVE, en zijn gratis.

Wat is een goede EPSS-score?

Er is geen universele grenswaarde. Volgens FIRST ligt een kans van ongeveer 0,04 (4%) rond het 90e percentiel, ongeveer het aandeel CVE's dat CVSS als kritiek zou beoordelen, en ligt 0,10 (10%) rond het 95e percentiel. De gemiddelde score is ongeveer 2,8% en de mediaan ongeveer 0,7%. Kies de drempel die uw team een wachtrij geeft die het kan wegwerken.

Wat is het verschil tussen de EPSS-kans en het percentiel?

De kans is de schatting van het model dat de CVE in de komende 30 dagen wordt misbruikt. Het percentiel rangschikt die kans ten opzichte van alle andere gescoorde CVE's. Een kans van 0,05 kan een hoog percentiel zijn, omdat de meeste CVE's veel lager scoren.

Moet ik EPSS met CVSS vermenigvuldigen?

Nee. Volgens FIRST levert het vermenigvuldigen van de twee nooit kans maal ernst op, omdat EPSS een gekalibreerde kans is en CVSS een ordinale rangschikking. Gebruik ze in plaats daarvan naast elkaar: EPSS voor waarschijnlijkheid, CVSS voor ernst.

Wat is de huidige EPSS-versie?

EPSS v5 (model v2026.06.15), gepubliceerd sinds 15 juni 2026. FIRST traint het model opnieuw wanneer de prestaties teruglopen, wat historisch ongeveer eens per jaar is gebeurd.

Hoe kom ik aan EPSS-scores?

Bevraag de FIRST API, bijvoorbeeld https://api.first.org/data/v1/epss?cve=CVE-2021-44228, of download de dagelijkse CSV met alle scores. Registratie is niet nodig. Veel scanners, waaronder Grype, tonen EPSS ook naast hun bevindingen.