Vad ska åtgärdas först? CISA KEV, EPSS och CVSS

Många publicerade sårbarheter används aldrig i en attack, medan vissa med måttliga poäng används hela tiden. En allvarlighetspoäng ensam kan inte skilja dem åt. För att använda begränsad tid för uppdateringar väl behöver ni ställa tre olika frågor om varje sårbarhet, och för var och en finns en öppen källa som svarar.

Tre signaler, tre frågor.

CVSS, Common Vulnerability Scoring System, bedömer den tekniska allvarlighetsgraden: hur sårbarheten nås, hur svår den är att utnyttja och vad en angripare vinner. Poängen motsvarar nivåerna Low (0,1 till 3,9), Medium (4,0 till 6,9), High (7,0 till 8,9) och Critical (9,0 till 10,0). Grundpoängen beskriver sårbarheten, inte er exponering för den. CVSS-specifikationen ber själv användarna att lägga till information om hot och miljö innan poängen används för att bedöma risk.

EPSS, Exploit Prediction Scoring System, beräknar sannolikheten att en publicerad CVE utnyttjas i verkliga attacker inom de närmaste 30 dagarna. Det är en modell tränad på observerade attacker som räknas om varje dag, så ett värde kan stiga snabbt när ett exploit publiceras. Percentilen visar hur värdet står sig mot alla andra CVE:er med värde.

CISA:s KEV-katalog listar sårbarheter med tillförlitliga belägg för att de utnyttjas i verkliga attacker. För att tas med behöver en sårbarhet ett CVE-id, sådana belägg och en tydlig åtgärd, till exempel en uppdatering från leverantören. Amerikanska federala myndigheter måste åtgärda listade sårbarheter inom fastställda tidsfrister, och CISA rekommenderar alla organisationer att använda katalogen för att prioritera.

En enkel arbetsordning.

1. Allt i KEV på system som nås från internet. Åtgärda direkt. Går produkten inte att uppdatera, till exempel för att den inte längre stöds, ta bort den från nätverket eller byt ut den: det är CISA:s egen instruktion till amerikanska myndigheter.
2. Högt EPSS-värde på system som nås från internet. Det finns ingen officiell gräns; TrustSek räknar 0,5 och uppåt som högt. Titta även på percentilen, och kontrollera igen efter några dagar, eftersom värdena rör sig.
3. Critical och High enligt CVSS på system som nås från internet, sedan samma sak på interna system.
4. Allt annat i den vanliga uppdateringscykeln, med ny kontroll mot KEV och EPSS när de ändras.

Exponeringen väger lika tungt som poängen. En KEV-sårbarhet på en server som nås från internet är mycket mer brådskande än samma sårbarhet på en isolerad testmaskin. Ha en förteckning över vad ni exponerar, annars har ordningen ovan inget att arbeta med.

Därför leder CVSS ensamt fel.

CVSS-poäng ändras sällan efter publicering, och många sårbarheter får High eller Critical. Att uppdatera enbart efter CVSS betyder att en lång lista behandlas som lika brådskande, medan en Medium-sårbarhet som angripare faktiskt använder får vänta i kön. EPSS och KEV tillför det CVSS saknar: om någon försöker. Använd alla tre, i ordningen ovan.

Var ni slår upp en sårbarhet.

• CISA KEV: katalogen går att söka i och laddas ner som CSV och JSON för automatisk matchning.
• EPSS: FIRST publicerar värdena för varje CVE dagligen, med ett kostnadsfritt API.
• CVSS: NIST:s National Vulnerability Database, eller leverantörens egen säkerhetsbulletin.
• ENISA:s europeiska sårbarhetsdatabas (EUVD): lanserad i maj 2025 enligt NIS2, med en egen vy för utnyttjade sårbarheter.

Vad NIS2 kräver.

Artikel 21.2 e i NIS2-direktivet kräver att väsentliga och viktiga verksamhetsutövare vidtar åtgärder för säkerhet vid anskaffning, utveckling och underhåll av sina system, inklusive hantering och offentliggörande av sårbarheter. I Sverige genomförs direktivet genom cybersäkerhetslagen. En skriftlig regel för vad ni åtgärdar först, och hur snabbt, byggd på KEV och EPSS, är konkreta belägg för att sårbarheter hanteras med avsikt och inte i den ordning de dyker upp. Läs mer om vilka som omfattas av cybersäkerhetslagen och vad bedömning utifrån täcker enligt NIS2.

Vad som syns utifrån.

Publika webbservrar och sidor anger ofta vilken programvara och version de kör. Att matcha versionerna mot publicerade sårbarheter visar vad en angripare kan se utan att röra något. Det har begränsningar: en rättning som en Linuxdistribution för in utan att ändra versionsnumret ser orättad ut utifrån, och programvara som döljer sin version går inte att matcha alls.

Det här kontrollerar TrustSek.

Modulen för sårbarheter matchar serverprogramvaran och JavaScript-biblioteken som er webbplats visar mot CISA:s KEV-katalog, EPSS, NVD, OSV och Retire.js, och rapporterar dem i den ordning guiden rekommenderar:

Träffar som bara bygger på versionsnummer har lägre tillförlitlighet, och ännu lägre för Apache, nginx och PHP, som distributionerna ofta rättar utan att ändra versionen. Sårbarheterna upptäcks passivt, utifrån versionsnummer: kontrollen läser det webbplatsen visar och testar eller utnyttjar ingenting.

Frågor

Kan vi strunta i en sårbarhet med lågt EPSS-värde?

Nej. Den är mindre brådskande i dag, men EPSS räknas om dagligen och kan stiga kraftigt när ett exploit publiceras. Åtgärda den i den vanliga cykeln och fortsätt kontrollera.

Vad gör vi om en KEV-sårbarhet saknar rättning för vår version?

KEV listar bara sårbarheter som har en tydlig åtgärd, så en rättning finns, kanske bara i en nyare version. Kan ni inte gå över till den, isolera eller avveckla systemet. Det är precis vad CISA kräver av amerikanska myndigheter för produkter som inte går att uppdatera.

Blir vi säkrare av att dölja versionsnummer?

Lite. Det tar bort ett gratis steg för angripare och minskar antalet versionsträffar som någon kan göra utifrån, men den sårbara programvaran finns kvar. Dölj versionerna, och uppdatera ändå.

Se vad er webbplats visar

Den kostnadsfria kontrollen matchar programvaran er webbplats visar mot kända utnyttjade och publicerade sårbarheter, tillsammans med de fem andra modulerna.

Er domän

Kontrollera er domän

Gratis, inget konto behövs. Tar ungefär 30 sekunder.