Po comiesięcznych aktualizacjach Microsoft skaner zwraca kilkaset nowych podatności z oceną CVSS 7 lub wyższą, a zespół zamknie w tym miesiącu ułamek z nich. Kolejka ułożona według CVSS mówi, co byłoby najgroźniejsze, gdyby ktoś to wykorzystał, ale nie mówi, co ktoś faktycznie wykorzystuje. Od tej różnicy zależy, czy łatanie trafi w realne ataki.
EPSS (Exploit Prediction Scoring System) odpowiada na to drugie pytanie: podaje prawdopodobieństwo, że podatność będzie wykorzystywana w ciągu najbliższych 30 dni. Dla cyberbezpieczeństwa firmy to brakujący wymiar kolejki łatania, ale tylko wtedy, gdy wynik czyta się jak prawdopodobieństwo, a nie jak ocenę w skali od zera do stu, i gdy zestawia się go z tym, co naprawdę działa w firmowej sieci.
Czym jest EPSS i co dokładnie mierzy?
EPSS to oparty na danych model uczenia maszynowego, który szacuje prawdopodobieństwo, że opublikowana podatność CVE będzie wykorzystywana w ciągu najbliższych 30 dni. Tak definiuje go FIRST, organizacja zrzeszająca zespoły reagowania na incydenty: model utrzymuje grupa SIG EPSS przy FIRST, a wyniki generuje firma Empirical Security i publikuje je codziennie dla każdej podatności CVE.
Kluczowe jest słowo „aktywność”. Według strony Using EPSS wynik to skalibrowane prawdopodobieństwo, że aktywność związana z wykorzystaniem danej podatności zostanie zaobserwowana przez partnerów danych EPSS w ciągu 30 dni. FIRST zastrzega wprost, że nie jest to ocena dotkliwości ani pełna ocena ryzyka.
Źródłem tej aktywności są telemetria złośliwego oprogramowania, honeypoty, systemy IDS/IPS i kanały wywiadu o zagrożeniach. Rejestrują one próby, nie tylko udane ataki: według FIRST próba zablokowana przez IPS to ta sama decyzja atakującego co próba skuteczna.
Okno 30 dni wybrano celowo. Według opisu metodologii odpowiada ono cyklowi decyzji praktyków, od dekad wyznaczanemu przez comiesięczne aktualizacje Microsoft (Patch Tuesday): wynik mówi, czy podatność zostanie prawdopodobnie wykorzystana, zanim zamknie się następne okno łatania.
Jak odczytać wynik i percentyl EPSS?
Wynik EPSS to prawdopodobieństwo od 0 do 1, a percentyl mówi, jaki odsetek wszystkich ocenionych podatności ma wynik taki sam albo niższy. Wynik 0,05 oznacza według opisu metodologii 5% prawdopodobieństwa wykorzystania w ciągu 30 dni, czyli w populacji podobnych podatności mniej więcej jedną na dwadzieścia.
Percentyl łatwo przecenić. Podatność CVE-1999-0001 ma w pliku dziennym z 22 września 2026 roku wynik 0,03351, czyli około 3,4% prawdopodobieństwa, a jednocześnie percentyl 0,88: jej wynik przewyższa wyniki 88% ocenionych podatności. Wysoki percentyl przy niskim prawdopodobieństwie nie jest błędem, tylko skutkiem rozkładu z długim ogonem.
Ten rozkład widać w liczbach. Według Using EPSS w dowolnym 30-dniowym okresie aktywność wykorzystania dotyczy od 1,5% do 3% opublikowanych podatności, średni wynik wynosi około 2,8%, a mediana około 0,7%. W pliku dziennym z 22 września 2026 roku dla 377 636 ocenionych CVE średnia wynosi 2,73%, a mediana 0,66% (obliczenie na pliku).
Wniosek praktyczny: wynik czyta się jak prawdopodobieństwo, a percentyl jak pozycję w kolejce.
Skąd model bierze dane i jak powstaje prognoza?
Model łączy około 2850 cech podatności z codziennymi obserwacjami jej wykorzystania i uczy się, które kombinacje sygnałów poprzedzają ataki. Według opisu metodologii FIRST cechy obejmują kod exploitów i narzędzia ofensywne, wzmianki o podatności w serwisach związanych z bezpieczeństwem, pojedyncze metryki CVSS oraz wiek podatności i liczbę odwołań.
Etykiety, czyli informację, czy podatność była danego dnia wykorzystywana, dostarcza blisko tuzin partnerów danych. Algorytmem są drzewa wzmacniane gradientowo w implementacji XGBoost, trenowane na 12 miesiącach historii, a surowy wynik przechodzi kalibrację, tak by 0,05 odpowiadało rzeczywistym 5% wykorzystań w ciągu 30 dni.
Dwie cechy modelu mają skutki praktyczne. Po pierwsze, model nie jest trenowany codziennie: codziennie przelicza się cechy i uruchamia ten sam model, więc skok wyniku z dnia na dzień oznacza nowe sygnały, na przykład publikację kodu exploita. Po drugie, wiek podatności waży w prognozie więcej niż jakakolwiek inna pojedyncza cecha podatności, a według FIRST podatności starsze niż dwa lata są wykorzystywane mniej więcej pięć razy częściej niż te młodsze niż miesiąc.
FIRST sam wymienia ograniczenia: wynik jest populacyjny, a dla świeżo ujawnionych podatności opiera się na skąpych sygnałach, które przybywają w kolejnych dniach.
Która wersja modelu EPSS obowiązuje?
Od 15 czerwca 2026 r. FIRST publikuje wyniki modelu EPSS w wersji 5, oznaczonej v2026.06.15. Strona Get the Data wymienia wcześniejsze wersje: v4 (v2025.03.14) publikowaną od 17 marca 2025 r. oraz starsze, z pierwszymi wynikami z 14 kwietnia 2021 r.
Wersję widać w samych danych. Plik dzienny z 22 września 2026 r. zaczyna się od wiersza #model_version:v2026.06.15,score_date:2026-09-22T12:02:55Z, a w pliku z 14 czerwca 2026 r., dzień przed premierą wersji 5, nagłówek wskazywał jeszcze v2025.03.14.
Zmiana wersji ma znaczenie dla każdego, kto przechowuje historię wyników. FIRST ostrzega, że każda nowa wersja przesunęła wyniki w dniu, w którym zaczęto ją publikować, więc szereg czasowy przechodzący przez tę granicę odzwierciedla zmianę metodologii, a nie zmianę samej podatności. Przykład z plików dziennych: CVE-1999-0001 miała 14 czerwca 2026 r. wynik 0,00988, a 15 czerwca, już w wersji 5, wynik 0,03351.
Progi ustawione na wynikach wersji 4 warto więc sprawdzić na nowo, zanim zespół uzna zmianę kolejki za zmianę zagrożenia.
Czym EPSS różni się od CVSS?
CVSS opisuje cechy i dotkliwość podatności, a EPSS szacuje prawdopodobieństwo, że ktoś ją wykorzysta, więc te dwie liczby odpowiadają na różne pytania. Skalę i metryki CVSS opisuje osobny tekst o systemie CVSS, tu ważna jest relacja między systemami.
EPSS korzysta z CVSS, ale nie z wyniku. Model używa pojedynczych metryk CVSS jako cech (wektor ataku, złożoność, wymagane uprawnienia, interakcja użytkownika i metryki wpływu), pomija natomiast wynik liczbowy i sam ustala na danych, ile waży każda metryka.
Z tego wynika najważniejszy zakaz z dokumentacji FIRST: nie mnoży się wyniku EPSS przez CVSS, żeby uzyskać „łączną ocenę ryzyka”. EPSS jest skalibrowanym prawdopodobieństwem, a CVSS porządkową oceną bez empirycznej kalibracji, więc iloczyn nie ma interpretowalnego znaczenia. FIRST nazywa takie działanie praniem wyników (score laundering).
Obie liczby stosuje się natomiast obok siebie: CVSS do oceny skutków, EPSS do oceny prawdopodobieństwa, jak w kolejce opisanej w tekście o priorytetyzacji podatności w praktyce.
Jak ustawić próg EPSS w kolejce łatania?
Próg EPSS ustawia się lokalnie, ważąc pokrycie wobec nakładu pracy, a nie według intuicji, że wysoki wynik w skali procentowej znaczy „pilne”. FIRST mierzy działanie modelu trzema wielkościami: pokrycie to odsetek faktycznie wykorzystanych podatności, które wyłapie dany próg, nakład to odsetek wszystkich podatności, którymi trzeba się zająć, a skuteczność to odsetek obsłużonych podatności, które rzeczywiście były wykorzystywane.
Punkt odniesienia dla organizacji, które dziś łatają według CVSS, podaje Using EPSS: progowi CVSS Critical odpowiada pod względem nakładu mniej więcej 90. percentyl EPSS, czyli wynik co najmniej 0,04, a progowi CVSS High i wyżej wynik około 0,008. FIRST zastrzega, że to punkt startowy dla programów odchodzących od CVSS, a nie rekomendacja kategorii CVSS.
Ile podatności obejmuje dany próg, pokazuje plik dzienny z 22 września 2026 roku (377 636 ocenionych CVE, obliczenie na pliku):
| Próg wyniku EPSS | Liczba CVE z wynikiem co najmniej takim | Mniej więcej co która ocenione CVE |
|---|---|---|
| 0,008 | 169 811 | co druga |
| 0,04 | 37 476 | co dziesiąta |
| 0,1 | 17 395 | co dwudziesta druga |
| 0,5 | 4 347 | co osiemdziesiąta siódma |
| 0,9 | 802 | co czterysta siedemdziesiąta pierwsza |
Tabela pokazuje, dlaczego intuicyjny próg 0,5 zawodzi: zostawia w kolejce jedną podatność na kilkadziesiąt, choć podatności z wynikiem 0,1 są według kalibracji modelu wykorzystywane mniej więcej co dziesiąta. Wybór progu to decyzja, ile pracy zespół wykona i ile wykorzystanych podatności przepuści, więc próg zapisuje się z uzasadnieniem.
Jak łączyć EPSS z KEV i kontekstem własnego środowiska?
Podatność z katalogu KEV traktuje się jako aktywnie wykorzystywaną niezależnie od wyniku EPSS, a pozostałe podatności przesiewa się przez trzy pytania o własne środowisko. Tak regułę formułuje FIRST: KEV zapisuje potwierdzone wykorzystania z przeszłości, EPSS prognozuje następne 30 dni, a niski wynik EPSS przy podatności z KEV nie jest sprzecznością.
Trzy pytania dotyczą obecności, osiągalności i skutków. Wysoki wynik dla podatności, której nie ma w firmie, nie ma znaczenia. Podatność obecna, ale nieosiągalna dla atakującego, bo wymaga uwierzytelnienia albo leży za kontrolami kompensującymi, waży mniej. Ta sama podatność na systemie krytycznym albo przetwarzającym dane wrażliwe waży więcej niż na odizolowanym serwerze testowym.
Takie ujęcie pasuje do ram zarządzania ryzykiem. NIST Cybersecurity Framework 2.0 z 26 lutego 2024 r. wymaga w podkategorii ID.RA-04 identyfikowania i zapisywania potencjalnych skutków i prawdopodobieństwa wykorzystania podatności przez zagrożenia, a w ID.RA-05 wykorzystania tych wielkości przy ustalaniu priorytetów reagowania. EPSS dostarcza części dotyczącej prawdopodobieństwa, skutki musi ocenić organizacja.
Najważniejsze:
- EPSS to prawdopodobieństwo wykorzystania podatności w ciągu 30 dni, a nie ocena jej dotkliwości.
- Percentyl pokazuje pozycję w kolejce, a nie ryzyko: wynik 0,034 może mieć percentyl 0,88.
- Od 15 czerwca 2026 r. obowiązuje wersja 5 modelu, a szereg wyników przechodzący przez tę datę zmienia metodologię.
- Podatność z KEV łata się priorytetowo niezależnie od wyniku EPSS.
- Wynik populacyjny trzeba sprawdzić obecnością, osiągalnością i skutkami we własnym środowisku.
Jakich błędów unikać przy pracy z EPSS?
Dokumentacja FIRST wymienia błędy, z których każdy prowadzi do złej kolejki łatania:
- Mnożenie EPSS przez CVSS (zob. sekcja o różnicach między EPSS a CVSS).
- Uznanie małego prawdopodobieństwa za bezpieczne. Wynik 0,05 przy tysiącach podatności oznacza wiele wykorzystań, bo statystycznie dotyczy jednej podatności na dwadzieścia.
- Ocena modelu po jednym przypadku. Pojedyncza podatność z zaskakująco niskim wynikiem nic nie mówi o systemie oceniającym codziennie setki tysięcy CVE.
- Działanie bez sprawdzenia środowiska. Wynik nie zna inwentarza zasobów ani kontroli kompensujących firmy.
- Oczekiwanie, że wynik zareaguje na wczorajszy atak. Aktywność wykorzystania służy do trenowania modelu, ale nie wchodzi do codziennego wyliczania wyników, więc EPSS nie jest bieżącym kanałem informacji o atakach.
Jednego ograniczenia nie da się obejść żadnym progiem: model widzi tylko te wykorzystania, które zarejestrowali partnerzy danych. FIRST pisze, że EPSS uczy się na próbie rzeczywistych wykorzystań, a nie na ich pełnym spisie.
Jak pobrać wyniki EPSS przez API i plik dzienny?
Pojedyncze podatności sprawdza się przez API FIRST, a pełną listę pobiera raz dziennie z pliku CSV. API pod adresem https://api.first.org/data/v1/epss służy według FIRST do wyszukiwania, nie do masowego pobierania; pozwala zapytać o wynik z konkretnego dnia w przeszłości i o 30-dniową historię jednej podatności, a „v1” w adresie oznacza wersję API, nie modelu.
# Wynik z 22 września 2026 r. dla jednej podatności
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2021-44228&date=2026-09-22"
# Historia wyniku z 30 dni dla tej samej podatności
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2021-44228&scope=time-series"Dla CVE-2021-44228 (Log4Shell) pierwsze zapytanie zwraca wynik 0,99999 i percentyl 1,0, czyli najwyższą pozycję w całym zbiorze.
Do pracy wsadowej, na przykład łączenia wyników z inwentarzem zasobów, służy plik dzienny z trzema polami: identyfikatorem CVE, wynikiem i percentylem. Archiwum plików sięga 14 kwietnia 2021 r., więc da się odtworzyć kolejkę z dnia decyzji o łataniu.
Jak wbudować EPSS w proces zarządzania podatnościami?
EPSS wchodzi do procesu jako jeden z kilku sygnałów, a każdy z nich odpowiada na inne pytanie i prowadzi do innej decyzji.
| Sygnał | Na jakie pytanie odpowiada | Skąd go wziąć | Decyzja w kolejce | Typowa pułapka |
|---|---|---|---|---|
| Katalog KEV | Czy wykorzystanie zostało potwierdzone? | katalog CISA KEV | łatanie priorytetowe niezależnie od EPSS | pominięcie podatności z KEV, bo ma niski wynik EPSS |
| Wynik EPSS | Jak prawdopodobne jest wykorzystanie w 30 dni? | API albo plik dzienny FIRST | kolejność wśród podatności spoza KEV | próg ustawiony na wyczucie |
| Percentyl EPSS | Ile podatności ma wynik nie wyższy? | ta sama pozycja w danych EPSS | ocena nakładu pracy przy danym progu | czytanie percentyla jak prawdopodobieństwa |
| Ocena CVSS | Jak dotkliwe są skutki i jakie są warunki ataku? | opis podatności u dostawcy albo w bazie CVE | waga skutków obok prawdopodobieństwa | mnożenie przez wynik EPSS |
| Obecność i osiągalność | Czy podatność jest u nas i czy da się do niej dotrzeć? | skaner podatności, inwentarz, architektura sieci | odsunięcie podatności nieosiągalnych | wynik populacyjny bez sprawdzenia środowiska |
| Skutki dla firmy | Co się stanie po wykorzystaniu? | rejestr zasobów z oceną krytyczności | podniesienie priorytetu systemów krytycznych | jednakowa waga wszystkich serwerów |
| Suma wyników EPSS | Ile wykorzystań spodziewać się w całym zbiorze? | suma prawdopodobieństw z listy podatności | miara ekspozycji całego programu | traktowanie jej jak dokładnej prognozy |
Ostatni wiersz wymaga komentarza. Skoro wyniki EPSS są skalibrowanymi prawdopodobieństwami, FIRST pokazuje, jak je sumować: dla 100 podatności z wynikiem 0,05 prawdopodobieństwo, że wykorzystana zostanie choć jedna, wynosi około 99,4%, a oczekiwana liczba wykorzystanych to 5. FIRST zastrzega, że to oszacowania, a nie dokładne prognozy, ale pozwalają opisać ekspozycję całego programu, a nie pojedynczej podatności.
Jak nFlo może pomóc w priorytetyzacji podatności?
nFlo wdraża platformy zarządzania podatnościami, w których priorytetyzacja nie kończy się na CVSS. Tenable Vulnerability Management łączy dane o podatnościach z wywiadem o zagrożeniach i priorytetyzuje je według krytyczności zasobów i kontekstu zagrożeń, a Rapid7 InsightVM liczy Active Risk Score z CVSS, dostępności exploitów, wykorzystania w złośliwym oprogramowaniu, aktywności atakujących i krytyczności zasobu.
Oceny tych platform są własnymi metodami producentów, a nie wynikiem EPSS, ale odpowiadają na to samo pytanie. Wynik EPSS dla podatności znalezionych przez skaner można dołożyć przez API FIRST, zestawiając identyfikatory CVE z raportu skanowania.
Szerszy kontekst zbiera baza wiedzy o vulnerability management. Jeśli chcesz uporządkować kolejkę łatania w swojej firmie, porozmawiaj z nami.
Co jeszcze warto wiedzieć o EPSS?
Czy EPSS zastępuje CVSS?
Nie. CVSS opisuje dotkliwość i cechy podatności, a EPSS prawdopodobieństwo jej wykorzystania w ciągu 30 dni. FIRST zaleca stosowanie obu systemów obok siebie i ostrzega przed mnożeniem wyniku EPSS przez ocenę CVSS.
Jak często zmienia się wynik EPSS?
Codziennie. Każdego dnia przeliczane są cechy wszystkich podatności i uruchamiany ten sam model, więc zmiana wyniku oznacza nowe sygnały, na przykład publikację kodu exploita. Sam model trenuje się ponownie dopiero wtedy, gdy monitoring pokaże spadek jego trafności.
Czy niski wynik EPSS oznacza, że podatność jest bezpieczna?
Nie. Niski wynik to nadal prawdopodobieństwo, a w dużej populacji podatności nawet niskie prawdopodobieństwa składają się na realne wykorzystania. Podatność z katalogu KEV traktuje się jako aktywnie wykorzystywaną niezależnie od wyniku EPSS.
Czy EPSS uwzględnia moje środowisko?
Nie. Wynik jest populacyjny i nie zna inwentarza zasobów ani kontroli kompensujących firmy. Przed decyzją trzeba sprawdzić, czy podatność występuje w środowisku, czy jest osiągalna dla atakującego i jakie skutki miałoby jej wykorzystanie.
Skąd wziąć wyniki EPSS?
Z API FIRST dla pojedynczych podatności albo z pliku dziennego CSV dla całej listy. Archiwum plików dziennych sięga kwietnia 2021 r., a dostęp do danych nie wymaga rejestracji.
