Definition. EPSS (Exploit Prediction Scoring System) schätzt für jede veröffentlichte CVE, wie wahrscheinlich ihre Ausnutzung in freier Wildbahn innerhalb der nächsten 30 Tage ist. Der Wert ist eine Wahrscheinlichkeit zwischen 0 und 1 und wird täglich neu berechnet. Herausgeber ist die EPSS Special Interest Group beim Forum of Incident Response and Security Teams (FIRST).
Warum relevant. CVSS beschreibt, wie schwer eine Lücke wiegt. EPSS schätzt, wie wahrscheinlich sie angegriffen wird. Zusammen mit dem CISA-KEV-Katalog, der bereits beobachtete Angriffe auflistet, entsteht eine Reihenfolge fürs Patchen, die sich nicht allein auf den Schweregrad stützt. Ein niedriger Wert bleibt eine Schätzung und ist keine Entwarnung.
Beispiel. Für die Traefik-Lücke CVE-2026-114640 lag der EPSS-Wert am 26. Oktober 2026 bei 0,2 Prozent, bei einer CVSS-Bewertung von 8.7.