EPSS: dette forteller Exploit Prediction Scoring System deg

Hva er EPSS?

Exploit Prediction Scoring System (EPSS) er en datadrevet modell som anslår sannsynligheten for at en publisert CVE blir utnyttet i praksis de neste 30 dagene. Den vedlikeholdes av EPSS Special Interest Group i FIRST, det samme forumet som publiserer CVSS. Scorene genereres av Empirical Security og publiseres gratis, uten registrering.

Hver dag får hver publiserte CVE to tall:

• Sannsynlighet, fra 0 til 1. Den anslåtte sjansen for utnyttelsesaktivitet de neste 30 dagene. 0,02 betyr 2 %.
• Persentil, fra 0 til 1. Andelen av alle CVE-er med score som har samme eller lavere sannsynlighet. Den forteller deg hvor en CVE rangeres, ikke hvor sannsynlig det er at den blir utnyttet.

Scorene flytter seg. En CVE kan ligge nær null i månedsvis og hoppe over natten når exploit-kode publiseres eller angrep observeres, så les dem daglig, ikke bare én gang ved triage.

Slik beregnes EPSS

EPSS er en maskinlæringsmodell trent på observert utnyttelse. FIRST beskriver omtrent 2 850 inndatavariabler i fem grupper:

• Exploit-kode og verktøy: offentlige exploits, rammeverk for utnyttelse, skannermaler.
• Omtale: omtale hos sikkerhetsleverandører, offentliggjøringsprogrammer og aggregatorer.
• Egenskaper ved sårbarheten: de enkelte CVSS-metrikkene og tagger fra beskrivelsen. Selve CVSS-scoren brukes ikke.
• Alder og referanser: hvor gammel CVE-en er, og hvor mange referanser den har.
• Utnyttelsesaktivitet: telemetri om skadevare, honeypots, inntrengingsdeteksjon og trusseletterretning fra datapartnere.

Den gjeldende modellen er EPSS v5 (v2026.06.15), publisert siden 15. juni 2026. Tidligere versjoner var v4 (mars 2025), v3 (mars 2023) og v2 (februar 2022). FIRST trener modellen på nytt når ytelsen svekkes, ikke etter en fast kalender.

EPSS vs CVSS

	EPSS	CVSS
Måler	Sannsynlighet for utnyttelse de neste 30 dagene	Alvorlighetsgrad hvis den blir utnyttet
Skala	Sannsynlighet 0 til 1, pluss en persentil	0 til 10, med alvorlighetsnivåer
Endres	Daglig, i takt med trusseldataene	Sjelden; basisscoren er fast per CVE
Produseres av	En modell trent på observert utnyttelse	Ekspertvurdering etter en spesifikasjon
Gjeldende versjon	v5 (2026)	4.0 (2023)

FIRST er tydelig på at de to ikke kan byttes ut med hverandre. CVSS-basisscorer måler alvorlighetsgrad, ikke risiko, og bør ikke brukes alene til å prioritere patching. EPSS er verken en alvorlighetsscore eller en fullstendig risikoscore. Og å gange dem sammen, advarer FIRST, er aldri en god idé: Den ene er en kalibrert sannsynlighet, den andre en ordinal rangering. Bruk dem side om side.

EPSS-terskler

EPSS har ingen offisiell grense. FIRST publiserer referansepunkter som hjelper deg å velge en:

EPSS-sannsynlighet	Omtrent
0,10 (10 %)	95. persentil. Ofte sitert, men uten noen spesiell autoritet fra EPSS.
0,04 (4 %)	90. persentil. En kø på omtrent samme størrelse som den CVSS critical ville gitt deg.
0,008 (0,8 %)	Omtrent de øverste 48 %. En kø på omtrent samme størrelse som CVSS high og critical til sammen.
0,007 (0,7 %)	Medianen. Halvparten av alle CVE-er har lavere score.

Jobb deg bakover fra kapasiteten. Hvis teamet ditt kan håndtere femti hastefunn i måneden, velg terskelen som gir omtrent femti i programvaren du leverer.

Slik bruker du EPSS til prioritering

1. Begynn med bekreftet utnyttelse. En CVE i CISAs KEV-katalog blir allerede utnyttet. FIRST sier selv at nylig bekreftet utnyttelse er et sterkt signal i seg selv, uansett score.
2. Ranger resten etter EPSS, med det som ligger over terskelen din først.
3. Skill like scorer med CVSS og konteksten din: om komponenten leveres, om den er eksponert, og hvor viktig produktet er.
4. Ranger på nytt daglig, for det gjør EPSS.

Hele metoden, og hvor SSVC og reachability passer inn, finner du i prioritering av sårbarheter.

Begrensningene ved EPSS

• Det kjenner ikke miljøet ditt. En høy score sier at CVE-en sannsynligvis blir utnyttet et sted, ikke at den sårbare koden er til stede, kan nås eller er viktig i produktet ditt.
• Bare publiserte CVE-er. Sårbarheter uten CVE og reserverte CVE-ID-er får ingen score.
• Det er en prognose. Lave scorer er ingen garanti, og derfor kommer KEV og andre bevis på utnyttelse først.

Slik får du EPSS-scorer

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 returnerer gjeldende sannsynlighet og persentil. Legg til &scope=time-series for historikken. API-et er ment for oppslag, ikke masseuttrekk.
• Daglig CSV: hele listen over scorer, oppdatert kort etter kl. 13.30 UTC, med et arkiv tilbake til 2021.
• Verktøyene dine: Mange skannere og plattformer for sårbarhetshåndtering viser EPSS ved siden av funnene, blant dem Grype, Dependency-Track, Tenable og Qualys.

EPSS trenger en nøyaktig oversikt

En EPSS-score rangerer en CVE. Den kan ikke fortelle deg om du leverer den berørte pakken. Det må komme fra oversikten din, og en skanner som leser lockfiler, rapporterer utviklingsavhengigheter som aldri leveres, og går glipp av pakker bygget lastet ned utenfor pakkebehandleren.

CRACI registrerer pakkene hver GitHub Actions-jobb faktisk hentet, inkludert transitive avhengigheter, pakker gjenopprettet fra cacher og skjulte avhengigheter som ingen lockfile lister opp, og vurderer overvåkede SBOM-er på nytt kontinuerlig. Byggehistorikken viser hvilke tidligere bygg som inneholdt en sårbar avhengighet, så når scoren til en CVE hopper, vet du hvilke utgivelser som har den. Se sårbarhetssporing.

EPSS: ofte stilte spørsmål

Hva er EPSS?

EPSS, Exploit Prediction Scoring System, er en maskinlæringsmodell vedlikeholdt av FIRST som anslår sannsynligheten for at en publisert CVE blir utnyttet i praksis de neste 30 dagene. Scorene publiseres daglig, for hver CVE, gratis.

Hva er en god EPSS-score?

Det finnes ingen universell grense. FIRST sier at en sannsynlighet på omtrent 0,04 (4 %) ligger rundt 90. persentil, omtrent den andelen av CVE-ene CVSS ville vurdert som kritiske, og at 0,10 (10 %) ligger rundt 95. persentil. Gjennomsnittsscoren er omtrent 2,8 % og medianen omtrent 0,7 %. Velg terskelen som gir teamet ditt en kø det klarer å tømme.

Hva er forskjellen på EPSS-sannsynlighet og persentil?

Sannsynligheten er modellens anslag for at CVE-en blir utnyttet de neste 30 dagene. Persentilen rangerer den sannsynligheten mot alle andre CVE-er med score. En sannsynlighet på 0,05 kan være en høy persentil, fordi de fleste CVE-er får langt lavere score.

Bør jeg gange EPSS med CVSS?

Nei. FIRST sier at det å gange de to aldri gir sannsynlighet ganger alvorlighetsgrad, fordi EPSS er en kalibrert sannsynlighet og CVSS en ordinal rangering. Bruk dem heller side om side: EPSS for sannsynlighet, CVSS for alvorlighetsgrad.

Hva er den gjeldende EPSS-versjonen?

EPSS v5 (modell v2026.06.15), publisert siden 15. juni 2026. FIRST trener modellen på nytt når ytelsen svekkes, og det har historisk skjedd omtrent én gang i året.

Hvordan får jeg EPSS-scorer?

Spør FIRST-API-et, for eksempel https://api.first.org/data/v1/epss?cve=CVE-2021-44228, eller last ned den daglige CSV-filen med alle scorer. Registrering er ikke nødvendig. Mange skannere, blant dem Grype, viser også EPSS ved siden av funnene.