Secretul din spatele vulnerabilităților cu CVSS 9.8
O cifră care merită atenție: în 2025 au fost publicate aproximativ 25.000 de CVE-uri noi, iar ritmul nu a scăzut în 2026. Dintre acestea, între 4.000 și 6.000 au un CVSS score de 9,0 sau mai mare. Scanerul tău le raportează pe toate. Echipa ta poate realista să patcheze o fracțiune din ele în acest sprint. Pe care dintre ele le exploatează atacatorii în practică?
Exact la această întrebare CVSS nu a fost niciodată conceput să răspundă. Common Vulnerability Scoring System îți oferă o măsurare a severității — îți spune cât de rău ar putea fi dacă exploatarea are loc. Exploit Prediction Scoring System (EPSS) inversează cadrul și întreabă: cât de probabil este ca aceasta să fie exploatată în următoarele 30 de zile? Dacă triajezi exclusiv pe baza scorurilor CVSS, iei decizii de prioritizare cu jumătate din informații.
Acest articol explică cum funcționează ambele sisteme, unde fiecare eșuează și de ce combinarea CVSS cu EPSS scoring devine standardul pentru echipele care vor să reducă riscul cu adevărat.
Ce este un CVSS Score, de fapt?
CVSS v3.1 și tot mai adoptatul v4.0 evaluează vulnerabilitățile pe baza unor metrici de bază: vector de atac, complexitate, privilegii necesare, interacțiunea utilizatorului, scope și impactul CIA. Rezultatul este un număr de la 0,0 la 10,0. CVSS este o evaluare statică a severității bazată pe caracteristicile intrinseci ale unei vulnerabilități și exclude deliberat datele de threat intelligence din scorul de bază.
Capcana prioritizării prin CVSS
Dacă fluxul tău de vulnerability management este patchuieste mai întâi tot ce e Critical, atunci ești în majoritate — și probabil patchezi lucruri care nu sunt niciodată exploatate în timp ce ratezi CVE-uri de severitate medie pe care actorii de amenințări le armează chiar acum. Cercetările FIRST arată că mai puțin de 5% din CVE-urile publicate sunt exploatate vreodată în practică.
Exploit Prediction Scoring System (EPSS) explicat
EPSS a fost dezvoltat de Special Interest Group pentru Exploit Prediction al FIRST, acum la a treia iterație EPSS v3, care folosește un model de machine learning cu gradient boosting. Rezultatul este un scor de probabilitate între 0,0 și 1,0. Modelul ingerează semnale din disponibilitatea PoC-urilor, intrări exploit-db, avize ale furnizorilor, mapări MITRE ATT&CK și telemetrie de exploatare observată.
EPSS Lookup: Unde găsești datele
Sursa canonică pentru EPSS lookup este API-ul FIRST la https://api.first.org/data/1.0/epss. Percentila este adesea mai utilă decât scorul brut. Capacitatea VM Scans din platforma SECRAILS integrează EPSS scoring direct în coada de vulnerabilități prioritizată pe risc.
EPSS vs. CVSS: Ce măsoară fiecare
CVSS măsoară severitatea — impactul potențial. EPSS măsoară probabilitatea amenințării — probabilitatea că exploatarea va ocurre efectiv. Sunt dimensiuni ortogonale ale riscului.
Cele patru cadrane de risc
- CVSS ridicat + EPSS ridicat: Patch imediat.
- CVSS ridicat + EPSS scăzut: Important, dar nu urgent. Monitorizează traiectoria EPSS.
- CVSS scăzut + EPSS ridicat: Înșelător. Acționează indiferent de severitatea scăzută.
- CVSS scăzut + EPSS scăzut: Deprioritizează și documentează riscul.
Traiectorii ale EPSS Score
Un CVE publicat azi cu EPSS 0,01 poate sări la 0,90 în câteva săptămâni dacă apare un PoC. Ai nevoie de monitorizare continuă. Echipele care rulează SAST alături de scanarea VM pot corela CVE-urile cu analiza de accesibilitate a codului. Stratul CSPM adaugă context privind expunerea publică a activelor.
Limitările EPSS
CVE-urile nou publicate au aproape niciun semnal de date pentru model, deci scorurile EPSS pentru vulnerabilități foarte noi sunt adesea scăzute implicit — aceasta este o problemă de raritate a datelor, nu un indicator de siguranță. EPSS nu cunoaște mediul tău specific.
Standardul 2026
Utilizarea exclusivă a CVSS pentru prioritizarea vulnerabilităților este din ce în ce mai des semnalată în audituri ca metodologie inadecvată. Cadrele NIS2 și DORA cer procese bazate pe risc și evidențe. SECRAILS este construit tocmai în jurul acestui principiu: să facă prioritizarea bazată pe risc operațional tractabilă, nu doar teoretic corectă.