漏洞
EPSS：Exploit Prediction Scoring System 能告訴您什麼
大多數 CVE 從未遭到利用。EPSS 估算的是哪些 CVE 會被利用。它每天為每個已公開的 CVE 給出未來 30 天內遭到利用的機率，讓您能依可能性、而不只是依嚴重程度，為待處理的漏洞排定優先順序。
更新日期
什麼是 EPSS？
漏洞利用預測評分系統（Exploit Prediction Scoring System，EPSS）是一個以資料驅動的模型，用來估算已公開的 CVE 在未來 30 天內遭到實際利用的機率。它由 FIRST 的 EPSS 特別興趣小組（Special Interest Group）維護，FIRST 也是發布 CVSS 的組織。分數由 Empirical Security 產生並免費公開，不需註冊。
每天，每個已公開的 CVE 都會得到兩個數值：
- 機率（Probability），介於 0 到 1 之間。代表未來 30 天內出現利用活動的估計機率。0.02 表示 2%。
- 百分位數（Percentile），介於 0 到 1 之間。代表所有已評分 CVE 中，機率相同或更低者所占的比例。它告訴您某個 CVE 的排名位置，而不是它遭到利用的可能性有多高。
分數會變動。一個 CVE 可能好幾個月都接近零，卻在利用程式碼公開或觀察到攻擊時一夜暴增，因此請每天查看分數，而不是只在分級研判時看一次。
EPSS 如何計算
EPSS 是以觀察到的利用行為訓練而成的機器學習模型。FIRST 說明其約有 2,850 個輸入特徵，分為五組：
- 利用程式碼與工具：公開的漏洞利用程式、漏洞利用框架、掃描工具範本。
- 討論聲量：資安廠商、揭露計畫與彙整網站的提及。
- 漏洞特性：個別的 CVSS 指標，以及從描述中擷取的標籤。CVSS 分數本身並不使用。
- 存在時間與參考資料：CVE 的公開時間長短，以及參考資料的數量。
- 利用活動：來自資料合作夥伴的惡意軟體遙測、誘捕系統（honeypot）、入侵偵測與威脅情資。
目前的模型是 EPSS v5（v2026.06.15），自 2026 年 6 月 15 日起發布。先前的版本為 v4（2025 年 3 月）、v3（2023 年 3 月）與 v2（2022 年 2 月）。FIRST 會在模型效能下降時重新訓練，而不是依固定時程進行。
EPSS 與 CVSS 的差異
| EPSS | CVSS | |
|---|---|---|
| 衡量內容 | 未來 30 天內遭到利用的可能性 | 遭到利用時的嚴重程度 |
| 尺度 | 0 到 1 的機率，另附百分位數 | 0 到 10，附嚴重程度等級 |
| 變動 | 每天隨威脅資料變動 | 很少變動；基本分數對每個 CVE 是固定的 |
| 產生方式 | 以觀察到的利用行為訓練的模型 | 專家依規格進行判斷 |
| 目前版本 | v5（2026） | 4.0（2023） |
FIRST 明確表示兩者不可互相替代。CVSS 基本分數衡量的是嚴重程度，而不是風險，不應單獨用來排定修補優先順序。EPSS 不是嚴重程度分數，也不是完整的風險分數。FIRST 也警告，把兩者相乘絕非好主意：一個是經過校準的機率，另一個是順序等級。請將兩者並列使用。
EPSS 門檻
EPSS 沒有官方的門檻值。FIRST 公布了一些參考點，協助您選擇：
| EPSS 機率 | 大致相當於 |
|---|---|
| 0.10（10%） | 第 95 百分位數。經常被引用，但並非 EPSS 賦予的特殊標準。 |
| 0.04（4%） | 第 90 百分位數。待處理佇列的規模約與 CVSS critical 相當。 |
| 0.008（0.8%） | 約為前 48%。待處理佇列的規模約與 CVSS high 加上 critical 相當。 |
| 0.007（0.7%） | 中位數。一半的 CVE 分數低於此值。 |
請從處理能力反推。如果您的團隊每月能處理五十項緊急檢測結果，就選擇在您出貨的軟體中大約會產生五十項的門檻。
如何使用 EPSS 排定優先順序
- 先處理已確認遭到利用的漏洞。列在 CISA KEV 目錄中的 CVE 已經遭到利用。FIRST 本身也表示，近期已確認的利用行為本身就是強烈的訊號，無論分數為何。
- 其餘依 EPSS 排序，先處理高於您所選門檻的項目。
- 以 CVSS 區分同分項目，並考量您的情境：該元件是否會出貨、是否對外暴露，以及產品的重要程度。
- 每天重新排序，因為 EPSS 每天都在更新。
完整的方法，以及 SSVC 與可達性分析的定位，請參閱漏洞優先順序排定。
EPSS 的限制
- 它不了解您的環境。高分代表該 CVE 很可能在某處遭到利用，而不代表有漏洞的程式碼存在於您的產品中、可被觸及或具有重要性。
- 只涵蓋已公開的 CVE。沒有 CVE 的漏洞與保留中的 CVE ID 都不會有分數。
- 它是一種預測。低分並不是保證，這也是為什麼 KEV 與其他利用佐證資料應優先考量。
如何取得 EPSS 分數
-
API：
https://api.first.org/data/v1/epss?cve=CVE-2021-44228會回傳目前的機率與百分位數。加上&scope=time-series即可取得歷史資料。此 API 是用於查詢，而非大量存取。 - 每日 CSV：完整的分數清單，於 13:30 UTC 後不久更新，並提供回溯至 2021 年的封存資料。
- 您的工具：許多掃描工具與漏洞管理平台會在檢測結果旁顯示 EPSS，其中包括 Grype、Dependency-Track、Tenable 與 Qualys。
EPSS 需要準確的資產清冊
EPSS 分數為 CVE 排序，卻無法告訴您是否出貨了受影響的套件。這得靠您的資產清冊；而讀取鎖定檔（lockfile）的掃描工具，會回報從未出貨的開發用相依套件，卻漏掉建置在套件管理工具之外下載的套件。
CRACI 會記錄每個 GitHub Actions 作業實際取用的套件，包括遞移相依套件、從快取還原的套件，以及任何鎖定檔都未列出的隱藏相依套件，並持續重新評估受監控的 SBOM。建置歷史會顯示哪些過去的建置包含有漏洞的相依套件，因此當某個 CVE 的分數暴增時，您就知道哪些發布版本帶有它。請參閱漏洞追蹤。
EPSS：常見問題
什麼是 EPSS？
EPSS（Exploit Prediction Scoring System，漏洞利用預測評分系統）是由 FIRST 維護的機器學習模型，用來估算已公開的 CVE 在未來 30 天內遭到實際利用的機率。分數每天針對每個 CVE 免費公布。
EPSS 分數多少才算高？
沒有通用的門檻值。FIRST 表示，約 0.04（4%）的機率大致位於第 90 百分位數，約略等於 CVSS 會評為 critical 的 CVE 比例；0.10（10%）則大致位於第 95 百分位數。平均分數約為 2.8%，中位數約為 0.7%。請選擇能讓您的團隊消化待處理佇列的門檻。
EPSS 的機率與百分位數有什麼不同？
機率是模型估算該 CVE 在未來 30 天內遭到利用的可能性。百分位數則是將這個機率與所有其他已評分 CVE 相比的排名。0.05 的機率可能落在很高的百分位數，因為大多數 CVE 的分數遠低於此。
應該把 EPSS 乘以 CVSS 嗎？
不應該。FIRST 表示兩者相乘絕不會得到「機率乘以嚴重程度」，因為 EPSS 是經過校準的機率，而 CVSS 是順序等級。請改為並列使用：以 EPSS 看可能性，以 CVSS 看嚴重程度。
目前的 EPSS 版本是什麼？
EPSS v5（模型 v2026.06.15），自 2026 年 6 月 15 日起發布。FIRST 會在模型效能下降時重新訓練，過去大約每年一次。
如何取得 EPSS 分數？
查詢 FIRST API，例如 https://api.first.org/data/v1/epss?cve=CVE-2021-44228，或下載包含所有分數的每日 CSV。不需要註冊。許多掃描工具（包括 Grype）也會在檢測結果旁顯示 EPSS。