EPSS (Exploit Prediction Scoring System)
L'EPSS estime la probabilité qu'une vulnérabilité soit exploitée dans les 30 prochains jours. Il complète le CVSS pour prioriser les correctifs par le risque réel.
L'Exploit Prediction Scoring System, développé au sein du FIRST, attribue à chaque CVE une probabilité d'exploitation dans les 30 jours à venir, entre 0 et 1. Le score est produit par un modèle statistique entraîné sur des données d'exploitation observées, publication d'exploits, mentions dans les kits offensifs, télémétrie d'attaques réelles, et il est recalculé quotidiennement pour l'ensemble des CVE publiées.
Son apport se comprend en le comparant au CVSS : celui-ci répond à "quelle serait la gravité si la faille était exploitée ?", l'EPSS répond à "quelle est la probabilité qu'elle le soit ?". Or les deux réponses divergent souvent. La grande majorité des CVE, y compris critiques sur le papier, ne sont jamais exploitées ; à l'inverse, certaines failles moyennement notées sont massivement utilisées parce qu'un exploit public fiable circule.
En pratique, la priorisation moderne croise les trois signaux : l'exploitation avérée du KEV d'abord, la probabilité EPSS ensuite, la sévérité CVSS enfin, le tout pondéré par l'exposition réelle de l'actif concerné. Une faille très probable sur un service exposé à Internet ne se traite pas au même rythme qu'une faille improbable sur un serveur interne.
Lire un score sans se tromper
Un score de 0,07 ne veut pas dire "faible", il veut dire 7 % de chances d'exploitation observée dans les trente jours. Rapporté au volume de vulnérabilités d'un parc, c'est déjà considérable. Deux valeurs se lisent ensemble : le score brut, qui est une probabilité, et le percentile, qui situe la faille par rapport à toutes les autres. Un score de 0,05 au 95e percentile signale une vulnérabilité plus menaçante que 95 % du corpus, ce qu'on ne devine pas en regardant le seul 0,05. Les seuils de déclenchement se fixent donc sur le percentile, puis se recalibrent en observant ce qu'ils font réellement entrer dans la file.
Ce que le modèle ne sait pas
L'EPSS est entraîné sur des signaux publics et de la télémétrie d'attaques de masse. Il prédit donc bien l'exploitation opportuniste et mal l'attaque ciblée : une faille utilisée contre trois organisations d'un secteur précis ne produit presque aucun signal exploitable par le modèle. Il ignore aussi complètement votre contexte, exposition de l'actif, mesures compensatoires, valeur des données. Une probabilité élevée sur un service interne inaccessible ne mérite pas la place qu'un tri automatique lui donnerait. Le score se croise, il ne se classe pas seul, comme le détaille notre guide de la gestion des vulnérabilités.
Questions fréquentes
L'EPSS remplace-t-il le CVSS ?
Non, ils répondent à deux questions différentes. Le CVSS mesure la gravité si la faille est exploitée, l'EPSS la probabilité qu'elle le soit. Une priorisation solide utilise les deux, plus l'exposition réelle de l'actif concerné.
À quelle fréquence les scores changent-ils ?
Tous les jours. Un score peut bondir en quelques heures après la publication d'un exploit fonctionnel, ce qui en fait un signal à surveiller en continu plutôt qu'une valeur qu'on relève une fois pour toutes dans un tableur.
Où consulte-t-on les scores EPSS ?
Le FIRST publie l'ensemble des scores en accès libre, par API et en export quotidien. La plupart des outils de gestion des vulnérabilités les intègrent directement dans leurs tableaux de priorisation.