EPSS (probabilité d’exploitation)
EPSS · Exploit Prediction Scoring System · score EPSS · probabilité d’exploitation · priorisation des vulnérabilités
Score publié par le FIRST qui estime, entre 0 et 1, la probabilité qu’une vulnérabilité publiée (CVE) soit exploitée dans les 30 prochains jours.
En pratique
L’EPSS repose sur un modèle d’apprentissage automatique nourri de données observées : codes d’exploitation publiés, mentions dans les flux de renseignement sur la menace, tentatives détectées par des capteurs, caractéristiques de la faille. Les scores sont recalculés chaque jour pour toutes les CVE, avec un centile : un centile de 95 signifie que la faille a un score supérieur ou égal à celui de 95 % des autres. La version 4 du modèle est en service depuis mars 2025. L’EPSS complète le CVSS sans le remplacer : le CVSS dit à quel point ce serait grave, l’EPSS à quel point c’est probable.
Cas fictif : deux failles notées 9,8 au CVSS tombent le même jour. La première a un EPSS de 0,02 (2 %) ; la seconde, à 0,89 (89 %), touche en plus un serveur exposé sur Internet : c’est elle que l’équipe corrige en premier, dans la journée.
