除了严重度评分，还有一个预测漏洞被利用概率的分数，怎么用

「排补丁顺序时怎么用」——这是维护者收到一堆漏洞公告之后常被问到的一句话。严重度评分回答的是漏洞被利用之后影响有多大，并不回答它接下来会不会真的被人利用。为后面这个问题服务的是 EPSS。本文说明它的口径、它与 CVSS 的分工，以及内容站点怎么用这两个分数一起排处置队列。

EPSS 与 CVSS 各回答什么问题

EPSS 全称 Exploit Prediction Scoring System，由 FIRST 组织维护。官方口径是：估计一个已公布的 CVE 在未来三十天内被在野利用的概率，每天为每个 CVE 给出一个 0 到 1 的概率分，同时给出它在所有已公布漏洞中的排名百分位。它是预测而不是定性，同一个漏洞的分数每天都会变化。

CVSS 的依据是专家对技术影响的评估：攻击需要什么条件、成功之后能读到或改到什么。EPSS 的依据则是可观测信号：在野利用的出现、技术细节的公开程度等。两者正好互补——严重度高不等于会被利用，严重度中等的漏洞一旦利用工具开始流通，风险会迅速上升。只看前者容易被吓人的标题牵着走，只看后者容易漏掉低概率、高影响的极端项。

概率分与百分位怎么读

概率分的绝对值通常偏小，绝大多数漏洞都靠近 0，这不是模型保守，而是真正被在野利用的漏洞本就只占少数。比较时百分位往往更直观：它表示这个漏洞排在所有已公布漏洞中的相对位置，实操中常用它来分层，比逐日波动的概率分更稳定。

还要注意，EPSS 只为已经公布的 CVE 给出分数，没有披露的漏洞不在覆盖范围内。它不能替你发现隐藏的问题，只能帮你在已知问题之间排序。

官方建议：与 CVSS、KEV 叠加使用

FIRST 官方不建议单独拿 EPSS 做决定，而是把它和 CVSS、已知在野利用清单（KEV 这类目录）结合起来用。KEV 记录已经确认被利用的漏洞，属于事实；CVSS 标定影响的上限，属于定性；EPSS 估计未来三十天被利用的可能性，属于预测。三个角度看的是同一件事的不同侧面。

排队列时按叠加关系处理：出现在 KEV 里的立刻处置；不在 KEV、但 EPSS 百分位高且 CVSS 也高的排进靠前档位；两项都低的按正常维护窗口安排。对内容站点来说，登录、列表、上传这些直接面向公网的功能接口，即使概率只是中等也值得提前安排，因为攻击面就摆在外面。

内容站点的三步排队法

先做资产盘点。把站点用到的程序、插件、模板和依赖组件列成清单，记下当前版本。没有清单，任何分数都落不到具体动作上。

再比对分层。拿清单对照漏洞公告，给每条待办标上三个字段：CVSS 严重度、EPSS 百分位、是否在 KEV 中，然后按上一节的规则分档。

后处置验证。修复窗口过后确认版本更新生效，并抽查相关功能是否正常。举个例子：AnQiCMS 在 v3.6.6 里修掉了列表排序参数被拼进查询语句这一类注入点，这类带真实可利用性的修复，正是要按优先级尽快排进补丁队列的；升级之后，管理员还应顺手把后台登录密码改掉。

常见问题

EPSS 高就必须马上打补丁吗？ 不是。还要看资产是否暴露、组件是否真的在用。没有部署的组件，分数再高也可以直接关闭工单。

小站点没有安全团队怎么起步？ 先把资产清单和公告订阅建起来，每次只挑百分位靠前且在 KEV 中或严重度高的项优先处理，其余按固定窗口批量完成。

EPSS 能替代 CVSS 吗？ 不能。EPSS 不描述影响，CVSS 不描述概率，前者适合排顺序，后者适合定基线，两个分数一起看才完整。

多久看一次分数？ 官方数据每天更新，建议按固定节奏（例如每周）批量刷新一次队列，不必每天盯着单个 CVE 的波动。