Comment calculer un score EPSS ?

5/5 - (6 votes)

Un score EPSS ne sort pas d’un tableur maison ni d’une formule que chaque entreprise reconstruirait de son côté : il est produit une fois pour toutes par une organisation tierce, FIRST, puis diffusé publiquement pour être consommé, lu et croisé avec le contexte de chaque système d’information. Comprendre cette distinction change tout dans la manière de prioriser les correctifs, d’éviter les faux positifs et de tenir des SLA de remédiation réalistes plutôt que théoriques.

Ce qu’il faut retenir

L’EPSS (Exploit Prediction Scoring System) donne une probabilité d’exploitation d’une CVE, comprise entre 0 et 1, pas une mesure de gravité.
Le score est calculé par FIRST via un modèle statistique entraîné sur les CVE de la base MITRE : l’entreprise ne le recalcule jamais elle-même.
On récupère le score via l’API EPSS ou les fichiers CSV publiés, en lisant à la fois le score et le percentile.
La priorisation combine EPSS, CVSS, exposition réseau, criticité de l’actif et présence dans le catalogue KEV de la CISA.
Moins de 5 % des vulnérabilités sont réellement exploitées : l’EPSS sert justement à repérer ce sous-ensemble critique.

Sommaire

Score EPSS : de quoi parle-t-on exactement

L’Exploit Prediction Scoring System (EPSS) est un système de notation conçu pour répondre à une question précise : quelle est la probabilité qu’une vulnérabilité connue soit exploitée par un attaquant dans un futur proche ? Le projet a été présenté pour la première fois en 2019 lors de la conférence Black Hat, à une époque où les équipes de sécurité croulaient déjà sous des milliers de CVE publiées chaque année sans disposer d’un outil fiable pour les hiérarchiser selon le risque réel d’attaque.

Une probabilité, pas une note de gravité

Le score EPSS s’exprime sous la forme d’un nombre décimal compris entre 0 et 1. Un score proche de 0 signifie que la vulnérabilité a très peu de chances d’être exploitée ; un score proche de 1 indique au contraire une probabilité élevée d’exploitation. Selon les versions et les formulations du modèle, cette probabilité peut être interprétée comme une fenêtre de 30 jours ou comme une estimation sur 12 mois glissants. Dans tous les cas, il s’agit d’une probabilité d’exploitation, à ne surtout pas confondre avec la sévérité technique mesurée par le CVSS.

Le percentile, un repère de classement

En complément du score brut, l’EPSS fournit un percentile : le pourcentage de vulnérabilités dont le score est inférieur ou égal à celui de la CVE étudiée. Un percentile de 85 % signifie que la faille est plus susceptible d’être exploitée que 85 % de l’ensemble des vulnérabilités analysées à date. Ce repère est précieux car il replace un score isolé dans son contexte global : un score de 0,10 peut sembler faible dans l’absolu, mais correspondre à un percentile très élevé si la majorité des CVE ont un score encore plus bas. Cette lecture combinée score-percentile est la porte d’entrée vers la question suivante : qui produit réellement ce chiffre, et pourquoi vous ne le recalculez pas à la main.

Qui calcule l’EPSS et pourquoi vous ne le « recalculez » pas à la main

Le score EPSS est calculé par FIRST (Forum of Incident Response and Security Teams), l’organisation qui héberge et maintient le modèle. Il ne s’agit pas d’un indicateur que chaque entreprise génère localement à partir de ses propres données : c’est un score publié, mis à jour quotidiennement, que les équipes sécurité viennent consulter ou intégrer via une API.

Un modèle statistique entraîné sur des données massives

Le calcul repose sur un modèle statistique entraîné sur l’ensemble des CVE publiées dans la base MITRE. Concrètement, le modèle analyse un grand nombre de vulnérabilités passées et cherche des régularités entre certaines caractéristiques techniques et l’exploitation observée dans le monde réel. Une version 1 du score a été documentée fin 2022, avant qu’une version 4 ne vienne affiner la précision du modèle avec de nouvelles variables et de nouvelles données d’entraînement.

Ce que l’entreprise fait réellement : lire, pas recalculer

Côté entreprise, il n’y a donc aucun calcul du modèle à reproduire. Le travail consiste à :

récupérer le score déjà calculé pour chaque CVE présente dans son parc informatique ;
vérifier la date ou la version du score, car il évolue dans le temps ;
combiner ce score avec le contexte interne : exposition, criticité de l’actif, présence d’un correctif disponible.

Cette distinction évite une confusion fréquente : parler de « calculer un score EPSS » du point de vue d’une équipe sécurité signifie en réalité calculer une priorité opérationnelle à partir d’un score déjà produit, et non reconstruire le modèle statistique lui-même. Reste à savoir comment, concrètement, aller chercher ce score pour une CVE donnée : c’est l’objet des méthodes d’accès via le site, l’API et les fichiers.

Comment obtenir le score EPSS d’une CVE : site, aPI et fichiers

Trois voies principales permettent de récupérer un score EPSS pour une CVE identifiée par son format standard (par exemple CVE-2024-3094) : la consultation ponctuelle, l’automatisation via API, et l’export en masse via fichier CSV.

Consultation ponctuelle

Pour une vérification rapide sur une CVE isolée, la consultation directe des données publiées par FIRST suffit. Elle renvoie le score, le percentile associé, et la date de calcul. Cette méthode convient à un usage occasionnel, par exemple lors de l’analyse d’un rapport de pentest ou d’une alerte ponctuelle.

Automatisation via l’API EPSS

Pour les équipes qui gèrent un parc de plusieurs centaines ou milliers de CVE, l’API EPSS est la solution la plus adaptée. Elle permet d’interroger le score et le percentile pour une liste de CVE en un seul appel, et de l’intégrer directement dans un outil de gestion des vulnérabilités ou un SIEM. Les champs renvoyés incluent typiquement :

l’identifiant CVE ;
le score EPSS (entre 0 et 1) ;
le percentile correspondant ;
la date de calcul du score.

Export en masse via le fichier CSV EPSS

FIRST publie également un fichier CSV EPSS quotidien contenant l’ensemble des scores pour toutes les CVE connues. Cette approche convient aux entreprises qui souhaitent croiser ces données en masse avec leur inventaire d’actifs, sans multiplier les appels API. Elle facilite aussi l’archivage historique pour suivre l’évolution d’un score dans le temps.

Précautions à connaître

Quelques points de vigilance s’imposent :

le score évolue quotidiennement : une extraction datée de plusieurs semaines peut être obsolète ;
une CVE très récente peut ne pas encore disposer de score, faute de données suffisantes ;
l’horodatage doit être vérifié pour éviter de comparer des scores calculés à des dates différentes.

Une fois le score récupéré, encore faut-il savoir le lire correctement, sans tomber dans les contresens les plus courants sur la probabilité et le percentile.

Lire un score EPSS : score, percentile et erreurs d’interprétation courantes

Disposer d’un chiffre ne suffit pas : encore faut-il l’interpréter avec justesse. C’est là que se jouent la plupart des erreurs de priorisation.

Probabilité n’est pas gravité

Le CVSS mesure la sévérité intrinsèque d’une vulnérabilité sur une échelle de 0 à 10, indépendamment de toute probabilité réelle d’attaque. L’EPSS, à l’inverse, mesure la probabilité d’exploitation, en s’appuyant sur des données d’exploitation réelle et l’activité observée des attaquants. Une CVE peut afficher un CVSS de 9,8 (critique) tout en ayant un EPSS très faible si aucun exploit fonctionnel n’a jamais circulé. Inversement, une CVE au CVSS modéré peut afficher un EPSS élevé si un exploit public largement diffusé existe.

Indicateur	Ce qu’il mesure	Échelle
CVSS	Sévérité technique intrinsèque	0 à 10
EPSS	Probabilité d’exploitation réelle	0 à 1 (+ percentile)

Les contresens à éviter

Trois erreurs reviennent fréquemment dans les équipes qui découvrent l’EPSS :

croire qu’un score faible signifie « aucun risque » : cela signifie seulement une probabilité statistique basse, pas une impossibilité ;
croire qu’un score élevé garantit un exploit certain : il s’agit toujours d’une estimation probabiliste, susceptible de générer des faux positifs ;
ignorer le percentile en ne regardant que le score brut, ce qui fausse les comparaisons entre CVE.

Pourquoi le percentile change la lecture

Le rappel est important : moins de 5 % des vulnérabilités publiées sont réellement exploitées par des attaquants. Le percentile permet justement de situer une CVE dans cette distribution très inégale, en identifiant les cas qui sortent statistiquement du lot. C’est ce double niveau de lecture, score et percentile, qui permet de construire une priorisation crédible, sujet développé dans la section suivante.

Calculer une priorité à partir d’EPSS : méthode simple et méthode robuste

Une fois le score lu correctement, reste l’étape la plus concrète pour une équipe sécurité : transformer ce chiffre en décision de priorisation des vulnérabilités.

Méthode simple : tri et seuil

Deux approches basiques sont couramment utilisées :

trier l’ensemble des CVE du parc par score EPSS décroissant, et traiter en premier les scores les plus élevés ;
définir un seuil fixe (par exemple 0,5 ou un percentile de 90 %) et ne déclencher une correction prioritaire qu’au-dessus de ce seuil.

Cette méthode a l’avantage de la simplicité et convient aux équipes qui découvrent l’EPSS ou disposent de ressources limitées pour la gestion des correctifs.

Méthode robuste : score composite multi-facteurs

Pour une priorisation plus fine, l’EPSS doit être combiné à d’autres signaux :

le score CVSS, pour ne pas négliger la gravité technique intrinsèque ;
l’exposition de l’actif (accessible depuis internet ou uniquement en interne) ;
la criticité métier du système concerné ;
la présence de la CVE dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA, qui recense les vulnérabilités déjà exploitées activement ;
les contraintes opérationnelles de patching, comme les fenêtres de maintenance disponibles.

Une présentation de 2013 illustrait déjà l’intérêt de cette approche ciblée : corriger en priorité les vulnérabilités de niveau élevé ou moyen associées à des kits d’attaque automatiques améliorait le niveau de sécurité de 62,81 %, contre seulement 3,2 % en corrigeant sans discernement l’ensemble des vulnérabilités de gravité élevée ou moyenne. Corriger celles associées à de simples démonstrations de kits d’attaque apportait un gain intermédiaire de 19,64 %. Ces chiffres anciens confirment une intuition centrale de l’EPSS : cibler selon la probabilité d’exploitation réelle rapporte bien plus que cibler uniquement selon la gravité théorique.

Le modèle sous-jacent : 16 variables observées

Le modèle statistique de FIRST s’appuie sur seize variables, parmi lesquelles la présence d’un exploit public, la maturité technique de cet exploit, l’éditeur concerné (Microsoft, Adobe, HP, Apache, IBM, Apple, Google), le type de vulnérabilité (corruption de mémoire, exécution de code, déni de service), la possibilité d’exécution à distance, le lien avec un service web, l’exploitabilité en local, ou encore le nombre de références associées à la CVE. Ces caractéristiques évoluent dans le temps, ce qui explique pourquoi un score EPSS n’est jamais figé et doit être recalé régulièrement. Passons maintenant à un exemple concret pour visualiser l’ensemble du processus, de la CVE brute jusqu’au ticket de correction.

Exemple pas à pas : de la CVE au ticket de correction avec EPSS et CVSS

Prenons un cas illustratif inspiré de situations réelles observées en 2023, comme les CVE-2023-44487 et CVE-2023-4863, massivement exploitées avec un EPSS supérieur à 90 %.

Étape 1 : récupération du score

L’équipe sécurité interroge l’API EPSS pour la CVE identifiée dans son inventaire. Le retour indique un score de 0,93 et un percentile de 98 %.

Étape 2 : comparaison avec le CVSS

Le score CVSS associé est de 7,5, classé « élevé » mais pas « critique ». Sans l’EPSS, cette CVE aurait pu être reléguée derrière d’autres failles affichant un CVSS de 9 ou plus.

Étape 3 : ajout du contexte d’exposition

L’actif concerné est un serveur exposé sur internet, hébergeant un service critique pour l’activité. Cette exposition, combinée au percentile de 98 %, fait basculer la CVE en tête de liste des priorités.

Étape 4 : décision et traçabilité

La décision retenue est la correction immédiate, avec un ticket ouvert dans l’outil de gestion des correctifs, un SLA de remédiation resserré à 48 heures compte tenu de l’exposition, et une note de traçabilité mentionnant le score EPSS, le percentile et la source CVSS ayant motivé la priorité. Ce mini-cas illustre pourquoi l’EPSS seul ne suffit jamais : il doit toujours être recoupé avec le contexte réel de l’infrastructure, ce qui amène naturellement à évoquer les limites du modèle.

Limites et bonnes pratiques : quand l’EPSS aide, quand il faut compléter

L’EPSS constitue un outil précieux, mais il comporte des limites qu’il convient de connaître pour éviter une confiance excessive.

Les limites structurelles du modèle

des données manquantes ou incomplètes pour les CVE très récentes, faute de recul suffisant sur l’exploitation observée ;
une dynamique de la menace qui évolue plus vite que la mise à jour du modèle dans certains cas ;
un biais possible vers les éditeurs ou technologies les plus documentés, au détriment de solutions moins répandues ;
une latence entre l’apparition d’un exploit et son intégration dans les variables du modèle ;
un périmètre temporel de probabilité (30 jours ou 12 mois selon les formulations) qui ne correspond pas toujours à l’horizon de décision de l’entreprise.

Bonnes pratiques pour fiabiliser la priorisation

recaler les scores quotidiennement plutôt que de travailler sur des extractions figées ;
corréler systématiquement avec le catalogue KEV de la CISA pour identifier les exploitations déjà confirmées ;
vérifier l’exposition réelle de chaque actif avant de fixer un SLA de remédiation ;
documenter les exceptions lorsque le contexte métier justifie de déroger à la priorité suggérée par l’EPSS.

Ces garde-fous permettent d’utiliser l’EPSS comme un accélérateur de décision, sans jamais lui déléguer entièrement le jugement final sur la criticité d’une vulnérabilité.

FAQ

Qu’est-ce que l’EPSS ?

L’EPSS (Exploit Prediction Scoring System) est un système de notation créé en 2019 qui estime la probabilité qu’une vulnérabilité connue soit exploitée par des attaquants, sur un horizon de 30 jours ou 12 mois selon les formulations retenues.

Qu’est-ce qu’un score EPSS ?

C’est un nombre compris entre 0 et 1 associé à une CVE, accompagné d’un percentile qui situe cette vulnérabilité par rapport à l’ensemble des CVE analysées. Plus le score est proche de 1, plus la probabilité d’exploitation est jugée élevée.

Qui calcule l’EPSS ?

Le score est calculé par FIRST, via un modèle statistique entraîné sur les CVE publiées dans la base MITRE. L’entreprise ne recalcule jamais le modèle elle-même : elle récupère le score déjà publié via l’API ou le fichier CSV EPSS.