Tesuji確認日：2026年10月27日
FIRST EPSSは、脆弱性の悪用活動が今後30日間に観測される可能性を推定する仕組みです。予測は日次で更新されます。脆弱性の技術的な深刻度を表すCVSSとは、見ているものが異なります。公式FAQ
自社が侵害される確率ではない
EPSSは、自社の特定システムが侵害される確率や、被害額を示す数値ではありません。利用製品、公開状況、影響条件、資産の重要性は、自分たちの環境について別に確認します。スコアの大小だけで対応を省略しない運用が必要です。
また、確率とパーセンタイルは別の表示です。パーセンタイルは他の脆弱性に対する順位の位置を表すもので、侵害の確率として読まないようにします。
予測を対応判断の補助にする
例えば、利用中の製品について優先順位を検討するときは、公式告知の影響条件と修正情報、KEVや調査報告にある悪用の確認、自社の公開範囲を合わせて読みます。その上でEPSSの予測を補助情報として使う方法を提案します。
公式のデータ配布案内にはCSVとAPIがあります。少数のCVEの照会と一括取得では推奨される取得方法が異なるため、用途に応じた方法を選びます。記事や社内記録には、スコアだけでなく取得日と判断の根拠を残すと、後から見直しやすくなります。