Glossaire
EPSS
Exploit Prediction Scoring System
Probabilité, de 0 à 1, qu'une CVE soit exploitée dans les 30 prochains jours, publiée par le FIRST.
L'Exploit Prediction Scoring System, géré par un groupe de travail du FIRST, estime la probabilité qu'une CVE soit exploitée dans la nature au cours des 30 prochains jours. Le score va de 0 à 1 et s'accompagne d'un percentile, qui situe la CVE par rapport à toutes les autres.
Le modèle est entraîné sur des données d'exploitation observées et sur les caractéristiques de chaque CVE, comme le type de faille ou l'existence d'un code d'exploitation public. Les scores sont recalculés chaque jour et publiés gratuitement, par une API et des fichiers CSV.
L'EPSS complète le CVSS sans le remplacer : le CVSS mesure la gravité si la faille est exploitée, l'EPSS la probabilité qu'elle le soit. Une CVE déjà présente au catalogue CISA KEV est exploitée par définition ; l'EPSS sert surtout à trier la masse des CVE qui n'y figurent pas.