O que o EPSS mede
EPSS é a nota de 0 a 1 que estima a probabilidade de uma CVE ser explorada no mundo real nos trinta dias seguintes. O nome inteiro é Exploit Prediction Scoring System, e quem mantém o modelo é o FIRST, o Forum of Incident Response and Security Teams, num grupo de trabalho aberto.
A nota sai todo dia. O arquivo público de 16 de setembro de 2026 rodava com o modelo na versão v2026.06.15 e trazia 374.847 CVEs pontuadas. Cada linha tem dois campos: a probabilidade e o percentil daquela CVE dentro do conjunto inteiro.
O modelo olha a CVE, o que se publicou sobre ela e o que os sensores do mundo registraram. Ele estima o comportamento de uma população, e o seu ambiente fica de fora da conta por construção.
Como ler a nota e o percentil
A probabilidade é literal. EPSS 0,42 quer dizer que o modelo estima 42% de chance de aparecer atividade de exploração contra aquela CVE no próximo mês. O percentil dá a posição relativa: uma CVE no percentil 0,97 está acima de 97% das outras.
Trocar um pelo outro sai caro, porque a distribuição é torta. A mediana do arquivo de 16 de setembro de 2026 fica em 0,0066, o que joga metade das CVEs abaixo de 0,7% de chance. Percentil alto convive com probabilidade pequena, já que o alto está sendo medido contra um universo quase todo parado.
Quem monta regra de SLA sobre percentil descobre isso no terceiro trimestre, quando a fila prioritária encheu de item que ninguém nunca tentou explorar.
Quanto da fila um corte por EPSS deixa de fora
O corte reduz volume rápido. No arquivo de 16 de setembro de 2026, 4,64% das CVEs pontuadas têm EPSS de 0,1 ou mais, e 1,16% chegam a 0,5. O corte em 0,088, que aparece como exemplo na documentação do próprio EPSS, seleciona 19.090 CVEs, ou 5,09% do conjunto.
Cruzado com o catálogo de exploração conhecida da CISA na versão 2026.09.16, esse corte cobre 76,8% das 1.711 entradas do catálogo que têm nota. Cinco por cento do universo pegando três quartos do que já se sabe explorado é uma troca boa para quem precisa cortar alguma coisa.
O resto da conta é o que interessa. As outras 397 entradas, quase um quarto do catálogo, ficam abaixo de 0,088. São falhas com exploração confirmada por observação que o modelo classifica como improváveis, e um filtro automático por EPSS as remove da fila sem avisar ninguém.
O que o EPSS não sabe sobre o seu parque
Ele não sabe se você tem aquele componente, se o serviço responde de fora ou só da rede interna, se a pré-condição da CVE vale naquele ativo, nem que faturamento passa por ali.
A consequência aparece nos dois sentidos. Uma CVE de EPSS 0,9 num componente que você não roda vale zero. Uma CVE de EPSS 0,02 num servidor de autenticação exposto pode ser o item mais urgente da semana.
Há também um viés que quase nunca entra na apresentação. O modelo se alimenta de observação de exploração, e o catálogo da CISA é uma das fontes desse tipo de sinal. A mediana de EPSS das entradas do catálogo é 0,54 contra 0,0066 do arquivo inteiro, e parte dessas oitenta vezes de distância vem de o modelo ter visto o mesmo sinal que o catálogo registrou.
EPSS, CVSS e KEV respondem perguntas diferentes
O mercado trata os três como versões um do outro. Eles medem coisas separadas.
CVSS responde quanto dano a falha causaria se fosse explorada, em condições ideais para o atacante. Gravidade teórica, parada no tempo.
EPSS responde qual a chance de alguém explorar aquela falha em algum lugar do mundo no próximo mês. Previsão, recalculada todo dia.
KEV responde se já houve exploração confirmada contra alvo real. Fato observado, sem gradação: a CVE está no catálogo da CISA ou está fora dele.
Uma fila ordenada por um dos três sozinho erra de forma previsível. Por CVSS, o topo enche de nota 9.8 antiga sem exploit conhecido. Por EPSS, some do radar um quarto do que a CISA já confirmou. Por KEV, sobra uma lista curta que ignora tudo que está prestes a acontecer.
Como usar o EPSS numa fila de milhares
Como acelerador, nunca como filtro de exclusão. Subir um item de EPSS alto é barato e costuma acertar. Descartar um item de EPSS baixo joga fora o quarto do catálogo da CISA que o modelo classifica como improvável.
Cruzado com alcance. EPSS 0,9 num ativo que responde na internet é uma coisa; o mesmo número atrás de VPN é outra. O cruzamento com a superfície de ataque externa muda mais a ordem final que qualquer ajuste no valor do corte.
Pelo movimento da nota. Uma CVE que saiu de 0,02 para 0,60 em duas semanas diz mais que uma parada em 0,55 há seis meses. O salto indica que alguma coisa mudou lá fora, quase sempre um exploit público.
Na cadência do dado. A nota muda todo dia. Uma fila recalculada uma vez por mês trabalha com EPSS de trinta dias atrás em 29 desses dias.
O que acontece quando o modelo troca de versão
O EPSS não é um número estável ao longo dos anos. Cada versão do modelo muda variáveis e recalibra a escala inteira, e a nota de uma CVE pode subir ou cair sem que nada tenha mudado sobre aquela falha.
Quem guarda série histórica precisa guardar a versão do modelo junto. Sem isso, comparar uma nota de 2024 com uma de hoje mede a deriva do modelo e chama o resultado de mudança de risco.
O efeito dessa escolha sobre o programa inteiro está em gestão de vulnerabilidades. A priorização por risco observado é onde a CSURFACE combina EPSS, catálogo da CISA, exploit público e telemetria de ataque sobre a superfície externa do cliente.