Blog
CVSS, EPSS und CISA KEV: Welche Lücke patchst du zuerst?
Ein CVSS-Wert von 9,8 klingt nach „sofort“. Wenn aber jede Woche Dutzende Lücken mit 9 und mehr erscheinen, brauchst du eine Reihenfolge. CVSS, EPSS und der KEV-Katalog der CISA beantworten drei verschiedene Fragen.
Aktualisiert am · Stackwatch-Team
Drei Kennzahlen, drei Fragen
| Frage | Wertebereich | Herausgeber | |
|---|---|---|---|
| CVSS | Wie schwer wäre eine Ausnutzung? | 0 bis 10 | FIRST (Standard), Werte vom Hersteller oder von der NVD |
| EPSS | Wie wahrscheinlich wird die Lücke in den nächsten 30 Tagen ausgenutzt? | 0 bis 1, dazu ein Perzentil | FIRST, täglich aktualisiert |
| CISA KEV | Wird die Lücke nachweislich ausgenutzt? | ja oder nein | CISA (US-Behörde) |
CVSS: der Schweregrad
Das Common Vulnerability Scoring System bewertet, wie gravierend eine Lücke technisch ist: Angriff über das Netz, ohne Login, mit Codeausführung? Dann landet sie weit oben. CVSS sagt aber nichts darüber, ob die Lücke gerade angegriffen wird oder ob sie dein System betrifft.
EPSS: die Wahrscheinlichkeit
Das Exploit Prediction Scoring System von FIRST schätzt, wie wahrscheinlich eine Lücke in den nächsten 30 Tagen ausgenutzt wird. Ein EPSS von 0,12 heißt: etwa 12 Prozent. Das klingt wenig, ist aber im Vergleich zu den meisten CVEs hoch, deshalb gibt es das Perzentil dazu.
CISA KEV: der Nachweis
Der Known Exploited Vulnerabilities Catalog der US-Behörde CISA listet Lücken, bei denen eine Ausnutzung belegt ist. Für US-Bundesbehörden ist der KEV-Status seit Juni 2026 eines der Kriterien der Richtlinie BOD 26-04, nach denen sie Sicherheitsupdates priorisieren müssen. Für alle anderen ist er ein starkes Signal. Er ist bewusst konservativ: Eine Lücke kommt erst hinein, wenn die Belege reichen.
Das Beispiel PHP2Shell
Für PHP2Shell sahen die drei Werte am 23. Oktober 2026 so aus:
| CVE-2026-109618 | CVE-2026-109619 | |
|---|---|---|
| CVSS 4.0 | 9.2 | 9.2 |
| EPSS | 0,116 (96. Perzentil) | 0,060 (93. Perzentil) |
| CISA KEV | nicht gelistet | nicht gelistet |
Gleichzeitig hatten Amazon und Cloudflare schon Angriffsversuche beziehungsweise Angriffsverkehr beobachtet. Das zeigt die Grenzen: KEV hinkt hinterher, weil es Belege braucht, und EPSS ist eine Schätzung. Wer nur auf KEV wartet, reagiert bei schnellen Wellen zu spät.
Eine Reihenfolge, die in der Praxis funktioniert
- Betrifft es meinen Stack? Ohne Treffer ist jede Kennzahl egal. Das ist die erste und wichtigste Filterstufe.
- In KEV oder Berichte über aktive Angriffe? Sofort handeln, auch außerhalb der Arbeitszeit.
- CVSS ab 9 und aus dem Internet erreichbar? Innerhalb von Stunden bis wenigen Tagen.
- Hoher EPSS (zum Beispiel oberhalb des 90. Perzentils)? Vorziehen.
- Alles andere: im normalen Update-Rhythmus.
Die Schwellen legst du selbst fest und schreibst sie in deine Richtlinie. Genau das fragen Auditoren bei NIS2 und ISO 27001.
Wie Stackwatch damit umgeht
Stackwatch gleicht neue Lücken deterministisch gegen die Versionen in deinem Stack ab, ohne zu raten. Bewertet wird nur, was dich betrifft. CISA KEV gehört zu den Quellen, sodass bestätigte Ausnutzung im Alert sichtbar ist. Wie der Abgleich funktioniert, steht unter So funktioniert’s.
Quellen
Häufige Fragen
Was ist der Unterschied zwischen CVSS, EPSS und CISA KEV?
CVSS bewertet den technischen Schweregrad einer Lücke (0 bis 10). EPSS schätzt, wie wahrscheinlich sie in den nächsten 30 Tagen ausgenutzt wird (0 bis 1). Der KEV-Katalog der CISA listet Lücken, bei denen eine Ausnutzung belegt ist.
Reicht ein hoher CVSS-Wert, um eine Lücke zuerst zu patchen?
Nicht allein. CVSS sagt nichts darüber, ob die Lücke gerade angegriffen wird oder ob sie dein System betrifft. Die erste Filterstufe ist deshalb die Frage, ob die Lücke deinen Stack trifft.
Was bedeutet ein EPSS-Wert von 0,12?
Etwa 12 Prozent Wahrscheinlichkeit, dass die Lücke in den nächsten 30 Tagen ausgenutzt wird. Das klingt wenig, ist aber im Vergleich zu den meisten CVEs hoch, deshalb gibt es das Perzentil dazu.
Warum reicht es nicht, auf einen KEV-Eintrag zu warten?
KEV braucht Belege und ist bewusst konservativ, deshalb hinkt es hinterher. Bei PHP2Shell standen die beiden CVEs am 23. Oktober 2026 nicht in KEV, obwohl Amazon und Cloudflare schon Angriffsversuche beziehungsweise Angriffsverkehr beobachtet hatten.
In welcher Reihenfolge priorisiere ich neue Lücken?
Erst prüfen, ob die Lücke deinen Stack betrifft. Bei KEV oder Berichten über aktive Angriffe sofort handeln, bei CVSS ab 9 und Erreichbarkeit aus dem Internet innerhalb von Stunden bis wenigen Tagen, einen hohen EPSS vorziehen, alles andere im normalen Update-Rhythmus. Die Schwellen legst du selbst fest und schreibst sie in deine Richtlinie.
Kann ein Werkzeug automatisch prüfen, ob eine Lücke meinen Stack trifft?
Ja. Stackwatch gleicht neue Lücken deterministisch gegen die Versionen in deinem Stack ab und zeigt bestätigte Ausnutzung aus CISA KEV im Alert.