EPSS: vad Exploit Prediction Scoring System säger dig

Vad är EPSS?

Exploit Prediction Scoring System (EPSS) är en datadriven modell som uppskattar sannolikheten att en publicerad CVE utnyttjas i det vilda de kommande 30 dagarna. Den förvaltas av EPSS Special Interest Group hos FIRST, samma forum som publicerar CVSS. Poängen genereras av Empirical Security och publiceras kostnadsfritt, utan registrering.

Varje dag får varje publicerad CVE två tal:

• Sannolikhet, från 0 till 1. Den uppskattade risken för utnyttjandeaktivitet de kommande 30 dagarna. 0,02 betyder 2 %.
• Percentil, från 0 till 1. Andelen av alla poängsatta CVE:er med samma eller lägre sannolikhet. Den visar var en CVE rankas, inte hur sannolikt det är att den utnyttjas.

Poängen ändras. En CVE kan ligga nära noll i månader och skjuta i höjden på en natt när exploateringskod publiceras eller attacker observeras, så läs dem dagligen i stället för en gång vid triagering.

Så beräknas EPSS

EPSS är en maskininlärningsmodell som tränats på observerat utnyttjande. FIRST beskriver omkring 2 850 indatavariabler i fem grupper:

• Exploateringskod och verktyg: publika exploits, ramverk för utnyttjande, skannermallar.
• Omnämnanden: omnämnanden från säkerhetsleverantörer, program för offentliggörande och aggregatorer.
• Sårbarhetens egenskaper: de enskilda CVSS-måtten och taggar från beskrivningen. Själva CVSS-poängen används inte.
• Ålder och referenser: hur gammal CVE:n är och hur många referenser den har.
• Utnyttjandeaktivitet: telemetri om skadlig kod, honeypots, intrångsdetektering och hotinformation från datapartner.

Den aktuella modellen är EPSS v5 (v2026.06.15), publicerad sedan den 15 juni 2026. Tidigare versioner var v4 (mars 2025), v3 (mars 2023) och v2 (februari 2022). FIRST tränar om modellen när prestandan försämras, inte enligt ett fast schema.

EPSS vs CVSS

	EPSS	CVSS
Mäter	Sannolikheten för utnyttjande de kommande 30 dagarna	Allvarlighetsgrad om den utnyttjas
Skala	Sannolikhet 0 till 1, plus en percentil	0 till 10, med allvarlighetsklasser
Ändras	Dagligen, i takt med att hotdata ändras	Sällan; baspoängen är fast per CVE
Tas fram av	En modell tränad på observerat utnyttjande	Expertbedömning mot en specifikation
Aktuell version	v5 (2026)	4.0 (2023)

FIRST är tydligt med att de två inte är utbytbara. CVSS-baspoäng mäter allvarlighetsgrad, inte risk, och bör inte användas ensamma för att prioritera patchar. EPSS är inte heller en poäng för allvarlighetsgrad, och inte en fullständig riskpoäng. Och att multiplicera dem med varandra, varnar FIRST, är aldrig en bra idé: det ena är en kalibrerad sannolikhet, det andra en ordinal rangordning. Använd dem sida vid sida.

Trösklar för EPSS

EPSS har ingen officiell gräns. FIRST publicerar referenspunkter som hjälper dig att välja en:

EPSS-sannolikhet	Ungefär
0,10 (10 %)	95:e percentilen. Citeras ofta, men har ingen särskild auktoritet från EPSS.
0,04 (4 %)	90:e percentilen. En kö ungefär lika stor som den CVSS kritisk skulle ge dig.
0,008 (0,8 %)	Ungefär de översta 48 %. En kö ungefär lika stor som CVSS hög och kritisk tillsammans.
0,007 (0,7 %)	Medianen. Hälften av alla CVE:er får lägre poäng.

Räkna bakåt från kapaciteten. Om ditt team kan hantera femtio brådskande fynd i månaden, välj den tröskel som ger ungefär femtio i programvaran du levererar.

Så använder du EPSS för prioritering

1. Börja med bekräftat utnyttjande. En CVE i CISA:s KEV-katalog utnyttjas redan. FIRST säger själv att nyligen bekräftat utnyttjande är en stark signal i sig, oavsett poäng.
2. Rangordna resten efter EPSS, först de över din valda tröskel.
3. Skilj likaplacerade åt med CVSS och ditt sammanhang: om komponenten levereras, om den är exponerad och hur viktig produkten är.
4. Rangordna om dagligen, eftersom EPSS gör det.

Hela metoden, och var SSVC och reachability passar in, finns i prioritering av sårbarheter.

Begränsningar i EPSS

• Det känner inte till din miljö. En hög poäng säger att CVE:n sannolikt kommer att utnyttjas någonstans, inte att den sårbara koden finns, kan nås eller är viktig i din produkt.
• Endast publicerade CVE:er. Sårbarheter utan CVE och reserverade CVE-id:n får ingen poäng.
• Det är en prognos. Låga poäng är inga garantier, vilket är skälet till att KEV och andra bevis på utnyttjande kommer först.

Så får du EPSS-poäng

• API: https://api.first.org/data/v1/epss?cve=CVE-2021-44228 returnerar aktuell sannolikhet och percentil. Lägg till &scope=time-series för historiken. API:t är avsett för enskilda uppslag, inte massåtkomst.
• Daglig CSV: hela listan med poäng, uppdaterad strax efter 13:30 UTC, med ett arkiv tillbaka till 2021.
• Dina verktyg: många skannrar och plattformar för sårbarhetshantering visar EPSS bredvid sina fynd, bland dem Grype, Dependency-Track, Tenable och Qualys.

EPSS behöver en korrekt förteckning

En EPSS-poäng rangordnar en CVE. Den kan inte säga om du levererar det berörda paketet. Det kommer från din förteckning, och en skanner som läser lockfiler rapporterar utvecklingsberoenden som aldrig levereras och missar paket som bygget laddade ner utanför pakethanteraren.

CRACI registrerar paketen som varje GitHub Actions-jobb faktiskt hämtade, inklusive transitiva beroenden, paket som återställs från cachar och dolda beroenden som ingen lockfile listar, och omvärderar bevakade SBOM:er löpande. Bygghistoriken visar vilka tidigare byggen som innehöll ett sårbart beroende, så när en CVE:s poäng hoppar vet du vilka releaser som innehåller den. Se sårbarhetsuppföljning.

EPSS: vanliga frågor

Vad är EPSS?

EPSS, Exploit Prediction Scoring System, är en maskininlärningsmodell som förvaltas av FIRST och som uppskattar sannolikheten att en publicerad CVE utnyttjas i det vilda de kommande 30 dagarna. Poängen publiceras dagligen, för varje CVE, kostnadsfritt.

Vad är en bra EPSS-poäng?

Det finns ingen universell gräns. FIRST säger att en sannolikhet på omkring 0,04 (4 %) ligger runt 90:e percentilen, ungefär den andel CVE:er som CVSS skulle klassa som kritiska, och att 0,10 (10 %) ligger runt 95:e percentilen. Medelpoängen är omkring 2,8 % och medianen omkring 0,7 %. Välj den tröskel som ger ditt team en kö det kan beta av.

Vad är skillnaden mellan EPSS-sannolikhet och percentil?

Sannolikheten är modellens uppskattning av att CVE:n utnyttjas de kommande 30 dagarna. Percentilen rangordnar den sannolikheten mot alla andra poängsatta CVE:er. En sannolikhet på 0,05 kan vara en hög percentil, eftersom de flesta CVE:er får mycket lägre poäng.

Ska jag multiplicera EPSS med CVSS?

Nej. FIRST säger att en multiplikation av de två aldrig ger sannolikhet gånger allvarlighetsgrad, eftersom EPSS är en kalibrerad sannolikhet och CVSS en ordinal rangordning. Använd dem i stället sida vid sida: EPSS för sannolikhet, CVSS för allvarlighetsgrad.

Vilken är den aktuella versionen av EPSS?

EPSS v5 (modell v2026.06.15), publicerad sedan den 15 juni 2026. FIRST tränar om modellen när dess prestanda försämras, vilket historiskt har skett ungefär en gång om året.

Hur får jag EPSS-poäng?

Fråga FIRST:s API, till exempel https://api.first.org/data/v1/epss?cve=CVE-2021-44228, eller ladda ner den dagliga CSV-filen med alla poäng. Ingen registrering behövs. Många skannrar, bland dem Grype, visar också EPSS bredvid sina fynd.