Qué mide el EPSS
EPSS es la puntuación de 0 a 1 que estima la probabilidad de que una CVE sea explotada en el mundo real durante los treinta días siguientes. El nombre completo es Exploit Prediction Scoring System, y el modelo lo mantiene FIRST, el Forum of Incident Response and Security Teams, en un grupo de trabajo abierto.
La puntuación sale cada día. El archivo público del 16 de septiembre de 2026 corría con la versión v2026.06.15 del modelo y traía 374.847 CVE puntuadas. Cada línea tiene dos campos: la probabilidad y el percentil de esa CVE dentro del conjunto entero.
El modelo mira la CVE, lo que se publicó sobre ella y lo que los sensores del mundo registraron. Estima el comportamiento de una población, y su entorno queda fuera de la cuenta por diseño.
Cómo leer la puntuación y el percentil
La probabilidad es literal. EPSS 0,42 quiere decir que el modelo estima un 42% de probabilidad de que aparezca actividad de explotación contra esa CVE el mes que viene. El percentil da la posición relativa: una CVE en el percentil 0,97 está por encima del 97% de las demás.
Confundir uno con otro sale caro, porque la distribución está muy sesgada. La mediana del archivo del 16 de septiembre de 2026 es 0,0066, lo que deja a la mitad de las CVE por debajo del 0,7% de probabilidad. Un percentil alto convive con una probabilidad pequeña, porque lo alto se mide contra un universo casi todo quieto.
Quien arma reglas de SLA sobre el percentil lo descubre en el tercer trimestre, cuando la cola prioritaria se llenó de elementos que nadie intentó explotar nunca.
Cuánto de la cola deja fuera un corte por EPSS
El corte reduce el volumen rápido. En el archivo del 16 de septiembre de 2026, el 4,64% de las CVE puntuadas tiene EPSS de 0,1 o más, y el 1,16% llega a 0,5. El corte en 0,088, que aparece como ejemplo en la documentación del propio EPSS, selecciona 19.090 CVE, el 5,09% del conjunto.
Cruzado con el catálogo de explotación conocida de CISA en la versión 2026.09.16, ese corte cubre el 76,8% de las 1.711 entradas del catálogo que tienen puntuación. Cinco por ciento del universo atrapando tres cuartos de lo que ya se sabe explotado es un buen intercambio para quien tiene que recortar algo.
El resto de la cuenta es lo que importa. Las otras 397 entradas, casi un cuarto del catálogo, quedan por debajo de 0,088. Son fallos con explotación confirmada por observación que el modelo clasifica como improbables, y un filtro automático por EPSS los saca de la cola sin avisar a nadie.
Qué no sabe el EPSS sobre su parque
No sabe si usted tiene ese componente, si el servicio responde desde fuera o solamente en la red interna, si la precondición de la CVE se cumple en ese activo, ni qué facturación pasa por ahí.
La consecuencia corta en dos direcciones. Una CVE con EPSS 0,9 en un componente que usted no ejecuta vale cero. Una CVE con EPSS 0,02 en un servidor de autenticación expuesto puede ser lo más urgente de la semana.
Hay un sesgo que casi nunca entra en la presentación. El modelo se alimenta de observación de explotación, y el catálogo de CISA es una de las fuentes de ese tipo de señal. La mediana de EPSS de las entradas del catálogo es 0,54 frente a 0,0066 del archivo entero, y parte de esas ochenta veces de distancia viene de que el modelo vio la misma señal que el catálogo registró.
EPSS, CVSS y KEV responden preguntas distintas
El mercado trata los tres como versiones el uno del otro. Miden cosas separadas.
CVSS responde cuánto daño causaría el fallo si fuera explotado, en condiciones ideales para el atacante. Gravedad teórica, quieta en el tiempo.
EPSS responde qué probabilidad hay de que alguien explote ese fallo en algún lugar del mundo el mes que viene. Pronóstico, recalculado cada día.
KEV responde si ya hubo explotación confirmada contra un objetivo real. Hecho observado, sin gradación: la CVE está en el catálogo de CISA o queda fuera.
Una cola ordenada por una sola de las tres señales falla de forma previsible. Por CVSS, la cima se llena de 9.8 antiguos sin exploit conocido. Por EPSS, desaparece un cuarto de lo que CISA ya confirmó. Por KEV, queda una lista corta que ignora todo lo que está por ocurrir.
Cómo usar el EPSS en una cola de miles
Como acelerador, nunca como filtro de exclusión. Subir un elemento con EPSS alto es barato y suele acertar. Descartar un elemento con EPSS bajo tira el cuarto del catálogo de CISA que el modelo clasifica como improbable.
Cruzado con el alcance. EPSS 0,9 en un activo que responde en internet es una cosa; el mismo número detrás de una VPN es otra. Cruzar la puntuación con la superficie de ataque externa cambia el orden final más que cualquier ajuste del valor del corte.
Por el movimiento de la puntuación. Una CVE que pasó de 0,02 a 0,60 en dos semanas dice más que una parada en 0,55 desde hace seis meses. El salto indica que algo cambió afuera, casi siempre un exploit público.
A la cadencia del dato. La puntuación cambia cada día. Una cola recalculada una vez al mes trabaja con EPSS de treinta días atrás durante 29 de esos días.
Qué pasa cuando el modelo cambia de versión
El EPSS es inestable a lo largo de los años. Cada versión del modelo cambia variables y recalibra la escala entera, y la puntuación de una CVE puede subir o bajar sin que nada haya cambiado sobre ese fallo.
Quien guarda una serie histórica tiene que guardar la versión del modelo al lado. Sin eso, comparar una puntuación de 2024 con una de hoy mide la deriva del modelo y llama al resultado cambio de riesgo.
El efecto de esa elección sobre el programa entero está en gestión de vulnerabilidades. La priorización por riesgo observado es donde CSURFACE combina EPSS, catálogo de CISA, exploit público y telemetría de ataque sobre la superficie externa del cliente.