EPSS

EPSS (Exploit Prediction Scoring System) to model uczenia maszynowego, który szacuje prawdopodobieństwo, że opublikowana podatność z identyfikatorem CVE zostanie wykorzystana w realnych atakach w ciągu najbliższych 30 dni ^[1]. Wynik ma postać liczby od 0 do 1 wraz z percentylem i jest przeliczany codziennie dla każdego CVE ^[1]. Model utrzymuje grupa EPSS Special Interest Group działająca przy FIRST ^[1]. EPSS nie ocenia, jak poważne byłyby skutki ataku, tylko jak prawdopodobne jest, że do ataku dojdzie.

Jak działa

FIRST opisuje EPSS jako narzędzie, które równoważy subiektywne oceny sygnałami empirycznymi z obserwowanego wykorzystywania podatności i bieżącej aktywności atakujących ^[1]. Model uczy się na telemetrii o wykorzystywaniu podatności, udostępnianej przez partnerów i ich czujniki na podstawie umów o redystrybucji danych ^[2]. Cechy techniczne podatności, w tym metryki CVSS, są dla modelu danymi wejściowymi, ale ich waga wynika z danych, a nie z opinii ekspertów ^[2].

Cykl pracy modelu powtarza się codziennie, co pokazuje schemat poniżej.

RYS. 1Codzienny cykl EPSS

Wyniki są dostępne jako codzienny plik CSV oraz przez API; oba kanały są bezpłatne i nie wymagają rejestracji ^[2]. Zapytanie o pojedyncze CVE zwraca trzy pola.

GET /data/v1/epss?cve=CVE-2021-44228 HTTP/1.1
Host: api.first.org

Prawdopodobieństwo i percentyl

EPSS podaje dwie liczby i trzeba je czytać osobno. Według FAQ prawdopodobieństwo jest miarą bezwzględną, a percentyl rankingiem względnym ^[2]. Ponieważ większość wyników skupia się blisko zera, już prawdopodobieństwo 0,05 może oznaczać 95. percentyl ^[2]. Wynik 5 procent brzmi niepozornie, a oznacza, że podatność jest bardziej zagrożona niż zdecydowana większość pozostałych.

Dla porównania: 26 września 2026 roku API podawało dla CVE-2021-44228 prawdopodobieństwo 0,99999 i percentyl 1,0 ^[7]. To górna granica skali.

EPSS a CVSS i KEV

Specyfikacja CVSS 4.0 określa wynik jako liczbę opisującą wagę podatności względem innych podatności ^[4]. Zaleca, by traktować go jako jedno z wejść organizacyjnego procesu zarządzania podatnościami, obok czynników spoza CVSS ^[4]. FAQ EPSS podkreśla, że obie miary mierzą różne rzeczy, a wysoka waga CVSS przewiduje wykorzystanie tylko nieco lepiej niż los ^[2]. FIRST ostrzega też przed mnożeniem obu wyników: iloczyn EPSS i CVSS nie jest iloczynem prawdopodobieństwa i skutku ^[2].

Katalog KEV prowadzony przez CISA zbiera podatności, których wykorzystanie już zaobserwowano ^[5]. CISA zaleca, by organizacje używały go jako jednego z wejść do własnych ram priorytetyzacji ^[5]. KEV mówi więc o przeszłości, a EPSS o prognozie na najbliższy miesiąc.

W WordPressie

EPSS ocenia obecnie wyłącznie podatności z identyfikatorem CVE ^[2]. Dla właściciela strony WordPress oznacza to, że wynik można sprawdzić dla każdej podatności we wtyczce, motywie albo rdzeniu, która dostała numer CVE. Błędy bez takiego numeru pozostają poza modelem; FIRST zapowiada dopiero rozszerzenie na zarezerwowane, jeszcze nieopublikowane identyfikatory, a w dalszej perspektywie na podatności spoza CVE ^[2].

Wynik EPSS pomaga ustalić kolejność prac, gdy jednocześnie ukazuje się wiele poprawek. Przy dużej liczbie stron i wtyczek sensowny porządek to: najpierw podatności z katalogu KEV, potem te z wysokim percentylem EPSS, a dalej reszta według CVSS i znaczenia strony. Tam, gdzie łatka (patch) nie może być wgrana od razu, wysoki EPSS jest argumentem za wirtualnym patchowaniem albo wyłączeniem wtyczki.

Znaczenie

W Polsce EPSS trafił do narzędzi dostępnych dla administratorów. ITwiz opisał 3 września 2026 roku nową funkcję portalu moje.cert.pl, prowadzonego przez CERT Polska, która powiadamia o podatnościach w używanych technologiach ^[6]. Według artykułu portal pokazuje przy każdej podatności obie miary jednocześnie: CVSS w skali od 0 do 10 i EPSS jako prawdopodobieństwo od 0 do 100 procent ^[6]. Portal ma według tego samego źródła 22 tysiące użytkowników, którzy zarządzają 26 tysiącami domen ^[6].

EPSS wspiera zarządzanie podatnościami i zarządzanie poprawkami, ale ich nie zastępuje. Wysoki wynik nie oznacza, że konkretna strona jest atakowana, a niski nie oznacza, że jest bezpieczna. Informację o zagrożeniu niesie też sama specyfikacja CVSS 4.0: jej metryka Exploit Maturity opisuje, czy istnieje PoC (proof of concept), narzędzia ataku albo aktywne wykorzystanie danego exploita ^[4].

Historia

Pierwszy opis modelu przedstawili Jay Jacobs, Sasha Romanosky, Benjamin Edwards, Michael Roytman i Idris Adjerid w pracy opublikowanej 13 sierpnia 2019 roku ^[3]. Autorzy wskazywali, że priorytety w zarządzaniu podatnościami opierają się głównie na subiektywnych opiniach ekspertów, wynikach wagi i niepełnych danych ^[3]. Pierwotny model szacował prawdopodobieństwo wykorzystania w ciągu 12 miesięcy od ujawnienia podatności ^[3]. Obecnie FIRST publikuje prognozę na 30 dni, aktualizowaną codziennie ^[1].