EPSS: co mówi Exploit Prediction Scoring System

Czym jest EPSS?

Exploit Prediction Scoring System (EPSS) to oparty na danych model, który szacuje prawdopodobieństwo wykorzystania opublikowanej CVE w rzeczywistych atakach w ciągu najbliższych 30 dni. Utrzymuje go EPSS Special Interest Group przy FIRST, tym samym forum, które publikuje CVSS. Wyniki generuje Empirical Security, a publikowane są bezpłatnie, bez rejestracji.

Każdego dnia każda opublikowana CVE otrzymuje dwie liczby:

• Prawdopodobieństwo, od 0 do 1. Szacowana szansa aktywności związanej z wykorzystaniem w ciągu najbliższych 30 dni. 0,02 oznacza 2%.
• Percentyl, od 0 do 1. Udział wszystkich ocenionych CVE z takim samym lub niższym prawdopodobieństwem. Mówi, jaką pozycję ma CVE w rankingu, a nie jak prawdopodobne jest jej wykorzystanie.

Wyniki się zmieniają. CVE może miesiącami utrzymywać się blisko zera i z dnia na dzień podskoczyć, gdy pojawi się kod exploita lub zostaną zaobserwowane ataki, dlatego należy czytać je codziennie, a nie jednorazowo podczas triażu.

Jak obliczany jest EPSS

EPSS to model uczenia maszynowego trenowany na zaobserwowanych przypadkach wykorzystania. FIRST opisuje około 2850 cech wejściowych w pięciu grupach:

• Kod exploitów i narzędzia: publiczne exploity, frameworki do wykorzystywania podatności, szablony skanerów.
• Wzmianki: wzmianki dostawców zabezpieczeń, programów ujawniania i agregatorów.
• Cechy podatności: poszczególne metryki CVSS i tagi z opisu. Sam wynik CVSS nie jest używany.
• Wiek i odwołania: wiek CVE i liczba odwołań.
• Aktywność związana z wykorzystaniem: telemetria złośliwego oprogramowania, honeypoty, wykrywanie włamań i dane wywiadowcze o zagrożeniach od partnerów.

Obecny model to EPSS v5 (v2026.06.15), publikowany od 15 czerwca 2026. Wcześniejsze wersje to v4 (marzec 2025), v3 (marzec 2023) i v2 (luty 2022). FIRST trenuje model ponownie, gdy spada jego skuteczność, a nie według stałego kalendarza.

EPSS a CVSS

	EPSS	CVSS
Co mierzy	Prawdopodobieństwo wykorzystania w ciągu najbliższych 30 dni	Dotkliwość w razie wykorzystania
Skala	Prawdopodobieństwo od 0 do 1 oraz percentyl	Od 0 do 10, z ocenami dotkliwości
Zmiany	Codziennie, wraz ze zmianą danych o zagrożeniach	Rzadko; wynik bazowy jest stały dla danej CVE
Źródło oceny	Model trenowany na zaobserwowanych przypadkach wykorzystania	Ocena ekspercka według specyfikacji
Aktualna wersja	v5 (2026)	4.0 (2023)

FIRST wyraźnie zaznacza, że te dwie miary nie są wymienne. Wyniki bazowe CVSS mierzą dotkliwość, a nie ryzyko, i nie powinny być jedyną podstawą priorytetyzacji łatek. EPSS nie jest ani oceną dotkliwości, ani pełną oceną ryzyka. A ich mnożenie, jak ostrzega FIRST, nigdy nie jest dobrym pomysłem: jedna to skalibrowane prawdopodobieństwo, druga ranking porządkowy. Należy używać ich równolegle.

Progi EPSS

EPSS nie ma oficjalnego progu. FIRST publikuje punkty odniesienia, które pomagają go wybrać:

Prawdopodobieństwo EPSS	W przybliżeniu
0,10 (10%)	95. percentyl. Często cytowany, ale bez szczególnego umocowania ze strony EPSS.
0,04 (4%)	90. percentyl. Kolejka mniej więcej takiej wielkości, jaką dałby poziom krytyczny CVSS.
0,008 (0,8%)	Około górnych 48%. Kolejka mniej więcej wielkości poziomów wysokiego i krytycznego CVSS łącznie.
0,007 (0,7%)	Mediana. Połowa wszystkich CVE ma niższy wynik.

Należy wyjść od możliwości zespołu. Jeśli zespół może obsłużyć pięćdziesiąt pilnych znalezisk miesięcznie, trzeba wybrać próg, który daje ich mniej więcej pięćdziesiąt w dostarczanym oprogramowaniu.

Jak używać EPSS do priorytetyzacji

1. Zacząć od potwierdzonego wykorzystania. CVE z katalogu KEV agencji CISA jest już wykorzystywana. Sam FIRST podaje, że niedawne potwierdzone wykorzystanie jest silnym sygnałem niezależnie od wyniku.
2. Uszeregować resztę według EPSS, najpierw powyżej wybranego progu.
3. Rozstrzygać remisy za pomocą CVSS i Państwa kontekstu: czy komponent jest dostarczany, czy jest narażony i jak ważny jest produkt.
4. Aktualizować ranking codziennie, ponieważ tak zmienia się EPSS.

Pełną metodę, wraz z miejscem SSVC i osiągalności, opisuje strona priorytetyzacja podatności.

Ograniczenia EPSS

• Nie zna Państwa środowiska. Wysoki wynik oznacza, że CVE prawdopodobnie zostanie gdzieś wykorzystana, a nie że podatny kod jest obecny, osiągalny lub ważny w Państwa produkcie.
• Tylko opublikowane CVE. Podatności bez CVE i zarezerwowane identyfikatory CVE nie otrzymują wyniku.
• To prognoza. Niskie wyniki nie są gwarancją, dlatego KEV i inne dowody wykorzystania mają pierwszeństwo.

Jak uzyskać wyniki EPSS

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 zwraca aktualne prawdopodobieństwo i percentyl. Historię daje dodanie &scope=time-series. API służy do pojedynczych zapytań, a nie do masowego dostępu.
• Dzienny plik CSV: pełna lista wyników, aktualizowana krótko po 13:30 UTC, z archiwum sięgającym 2021 roku.
• Państwa narzędzia: wiele skanerów i platform zarządzania podatnościami pokazuje EPSS obok znalezisk, między innymi Grype, Dependency-Track, Tenable i Qualys.

EPSS wymaga dokładnego inwentarza

Wynik EPSS szereguje CVE. Nie powie Państwu, czy dostarczają Państwo podatny pakiet. To wynika z inwentarza, a skaner odczytujący lockfile zgłasza zależności deweloperskie, które nigdy nie są dostarczane, i pomija pakiety pobrane przez build poza menedżerem pakietów.

CRACI rejestruje pakiety faktycznie pobrane przez każde zadanie GitHub Actions, łącznie z zależnościami przechodnimi, pakietami przywróconymi z cache i ukrytymi zależnościami, których nie wymienia żaden lockfile, i stale ponownie ocenia monitorowane SBOM-y. Historia buildów pokazuje, które wcześniejsze buildy zawierały podatną zależność, więc gdy wynik CVE gwałtownie rośnie, wiedzą Państwo, które wydania ją zawierają. Zob. śledzenie podatności.

EPSS: najczęściej zadawane pytania

Czym jest EPSS?

EPSS, Exploit Prediction Scoring System, to model uczenia maszynowego utrzymywany przez FIRST, który szacuje prawdopodobieństwo wykorzystania opublikowanej CVE w rzeczywistych atakach w ciągu najbliższych 30 dni. Wyniki są publikowane codziennie, dla każdej CVE, bezpłatnie.

Jaki wynik EPSS jest dobry?

Nie ma uniwersalnego progu. Według FIRST prawdopodobieństwo około 0,04 (4%) to okolice 90. percentyla, czyli mniej więcej odsetek CVE, które CVSS oceniłby jako krytyczne, a 0,10 (10%) to okolice 95. percentyla. Średni wynik to około 2,8%, a mediana około 0,7%. Należy wybrać próg, który daje zespołowi kolejkę możliwą do przerobienia.

Czym prawdopodobieństwo EPSS różni się od percentyla?

Prawdopodobieństwo to oszacowanie modelu, że CVE zostanie wykorzystana w ciągu najbliższych 30 dni. Percentyl porównuje to prawdopodobieństwo ze wszystkimi innymi ocenionymi CVE. Prawdopodobieństwo 0,05 może oznaczać wysoki percentyl, ponieważ większość CVE ma znacznie niższe wyniki.

Czy należy mnożyć EPSS przez CVSS?

Nie. Według FIRST pomnożenie obu nigdy nie daje prawdopodobieństwa razy dotkliwość, ponieważ EPSS jest skalibrowanym prawdopodobieństwem, a CVSS rankingiem porządkowym. Należy używać ich równolegle: EPSS dla prawdopodobieństwa, CVSS dla dotkliwości.

Jaka jest aktualna wersja EPSS?

EPSS v5 (model v2026.06.15), publikowany od 15 czerwca 2026. FIRST trenuje model ponownie, gdy spada jego skuteczność, co dotychczas zdarzało się mniej więcej raz w roku.

Jak uzyskać wyniki EPSS?

Należy odpytać API FIRST, na przykład https://api.first.org/data/v1/epss?cve=CVE-2021-44228, lub pobrać dzienny plik CSV ze wszystkimi wynikami. Rejestracja nie jest potrzebna. Wiele skanerów, w tym Grype, pokazuje też EPSS obok znalezisk.