EPSS: o que lhe diz o Exploit Prediction Scoring System

O que é o EPSS?

O Exploit Prediction Scoring System (EPSS) é um modelo baseado em dados que estima a probabilidade de uma CVE publicada ser explorada no terreno nos próximos 30 dias. É mantido pelo EPSS Special Interest Group da FIRST, o mesmo fórum que publica o CVSS. As pontuações são geradas pela Empirical Security e publicadas gratuitamente, sem registo.

Todos os dias, cada CVE publicada recebe dois números:

• Probabilidade, de 0 a 1. A probabilidade estimada de atividade de exploração nos próximos 30 dias. 0,02 significa 2%.
• Percentil, de 0 a 1. A proporção de todas as CVE pontuadas com probabilidade igual ou inferior. Indica-lhe a posição de uma CVE na classificação, não a probabilidade de ser explorada.

As pontuações mudam. Uma CVE pode ficar perto de zero durante meses e disparar de um dia para o outro quando é publicado código de exploração ou são observados ataques, pelo que as deve ler diariamente e não apenas uma vez na triagem.

Como é calculado o EPSS

O EPSS é um modelo de aprendizagem automática treinado com exploração observada. A FIRST descreve cerca de 2.850 variáveis de entrada em cinco grupos:

• Código e ferramentas de exploração: exploits públicos, frameworks de exploração, modelos de scanners.
• Menções: referências de fornecedores de segurança, programas de divulgação e agregadores.
• Características da vulnerabilidade: as métricas CVSS individuais e etiquetas da descrição. A própria pontuação CVSS não é usada.
• Idade e referências: a idade da CVE e o número de referências que tem.
• Atividade de exploração: telemetria de malware, honeypots, deteção de intrusões e informação sobre ameaças de parceiros de dados.

O modelo atual é o EPSS v5 (v2026.06.15), publicado desde 15 de junho de 2026. As versões anteriores foram a v4 (março de 2025), a v3 (março de 2023) e a v2 (fevereiro de 2022). A FIRST volta a treinar o modelo quando o desempenho se degrada, não segundo um calendário fixo.

EPSS vs CVSS

	EPSS	CVSS
Mede	Probabilidade de exploração nos próximos 30 dias	Gravidade se for explorada
Escala	Probabilidade de 0 a 1, mais um percentil	0 a 10, com níveis de gravidade
Alterações	Diárias, à medida que os dados sobre ameaças mudam	Raras; a pontuação base é fixa por CVE
Produzido por	Um modelo treinado com exploração observada	Avaliação de especialistas face a uma especificação
Versão atual	v5 (2026)	4.0 (2023)

A FIRST é clara: os dois não são intercambiáveis. As pontuações base do CVSS medem a gravidade, não o risco, e não devem ser usadas sozinhas para priorizar patches. O EPSS também não é uma pontuação de gravidade nem uma pontuação de risco completa. E multiplicá-los, avisa a FIRST, nunca é boa ideia: um é uma probabilidade calibrada, o outro uma classificação ordinal. Use-os lado a lado.

Limiares do EPSS

O EPSS não tem um limiar oficial. A FIRST publica pontos de referência que o ajudam a escolher um:

Probabilidade EPSS	Aproximadamente
0,10 (10%)	Percentil 95. Muito citado, mas sem qualquer autoridade especial por parte do EPSS.
0,04 (4%)	Percentil 90. Uma fila de dimensão semelhante à que o nível crítico do CVSS daria.
0,008 (0,8%)	Cerca dos 48% superiores. Uma fila de dimensão semelhante aos níveis alto e crítico do CVSS em conjunto.
0,007 (0,7%)	A mediana. Metade de todas as CVE tem pontuação inferior.

Parta da capacidade. Se a sua equipa consegue tratar cinquenta conclusões urgentes por mês, escolha o limiar que produza cerca de cinquenta no software que distribui.

Como usar o EPSS na priorização

1. Comece pela exploração confirmada. Uma CVE no catálogo KEV da CISA já está a ser explorada. A própria FIRST diz que uma exploração recente confirmada é, por si só, um sinal forte, seja qual for a pontuação.
2. Ordene o resto pelo EPSS, começando pelo que está acima do limiar escolhido.
3. Desempate com o CVSS e com o seu contexto: se o componente é distribuído, se está exposto e qual a importância do produto.
4. Volte a ordenar diariamente, porque o EPSS também muda diariamente.

O método completo, incluindo o lugar do SSVC e da alcançabilidade, está em priorização de vulnerabilidades.

Limites do EPSS

• Não conhece o seu ambiente. Uma pontuação alta diz que a CVE deverá ser explorada algures, não que o código vulnerável esteja presente, seja alcançável ou tenha importância no seu produto.
• Apenas CVE publicadas. As vulnerabilidades sem CVE e os identificadores CVE reservados não recebem pontuação.
• É uma previsão. Pontuações baixas não são garantias, e é por isso que o KEV e outras provas de exploração vêm primeiro.

Como obter pontuações EPSS

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 devolve a probabilidade e o percentil atuais. Acrescente &scope=time-series para obter o histórico. A API destina-se a consultas pontuais, não a acesso em massa.
• CSV diário: a lista completa de pontuações, atualizada pouco depois das 13:30 UTC, com um arquivo que recua até 2021.
• As suas ferramentas: muitos scanners e plataformas de gestão de vulnerabilidades mostram o EPSS junto das suas conclusões, entre eles o Grype, o Dependency-Track, a Tenable e a Qualys.

O EPSS precisa de um inventário exato

Uma pontuação EPSS classifica uma CVE. Não lhe pode dizer se distribui o pacote afetado. Isso vem do seu inventário, e um scanner que lê lockfiles reporta dependências de desenvolvimento que nunca são distribuídas e não vê pacotes que o build descarregou fora do gestor de pacotes.

O CRACI regista os pacotes que cada job de GitHub Actions realmente obteve, incluindo dependências transitivas, pacotes restaurados de caches e dependências ocultas que nenhum lockfile lista, e reavalia continuamente as SBOM monitorizadas. O histórico de builds mostra que builds anteriores continham uma dependência vulnerável, pelo que, quando a pontuação de uma CVE dispara, sabe que versões a contêm. Consulte acompanhamento de vulnerabilidades.

EPSS: perguntas frequentes

O que é o EPSS?

O EPSS, Exploit Prediction Scoring System, é um modelo de aprendizagem automática mantido pela FIRST que estima a probabilidade de uma CVE publicada ser explorada no terreno nos próximos 30 dias. As pontuações são publicadas diariamente, para todas as CVE, gratuitamente.

O que é uma boa pontuação EPSS?

Não existe um limiar universal. A FIRST diz que uma probabilidade de cerca de 0,04 (4%) fica perto do percentil 90, aproximadamente a proporção de CVE que o CVSS classificaria como crítica, e que 0,10 (10%) fica perto do percentil 95. A pontuação média é de cerca de 2,8% e a mediana de cerca de 0,7%. Escolha o limiar que dê à sua equipa uma fila que consiga esvaziar.

Qual é a diferença entre a probabilidade e o percentil do EPSS?

A probabilidade é a estimativa do modelo de que a CVE será explorada nos próximos 30 dias. O percentil posiciona essa probabilidade face a todas as outras CVE pontuadas. Uma probabilidade de 0,05 pode corresponder a um percentil alto, porque a maioria das CVE tem pontuações muito mais baixas.

Devo multiplicar o EPSS pelo CVSS?

Não. A FIRST diz que multiplicar os dois nunca dá probabilidade vezes gravidade, porque o EPSS é uma probabilidade calibrada e o CVSS é uma classificação ordinal. Use-os antes lado a lado: o EPSS para a probabilidade, o CVSS para a gravidade.

Qual é a versão atual do EPSS?

O EPSS v5 (modelo v2026.06.15), publicado desde 15 de junho de 2026. A FIRST volta a treinar o modelo quando o seu desempenho se degrada, o que historicamente tem acontecido cerca de uma vez por ano.

Como obtenho pontuações EPSS?

Consulte a API da FIRST, por exemplo https://api.first.org/data/v1/epss?cve=CVE-2021-44228, ou descarregue o CSV diário com todas as pontuações. Não é necessário registo. Muitos scanners, incluindo o Grype, também mostram o EPSS junto das suas conclusões.