ЕМПІРИЧНИЙ АУДИТ ПРІОРИТИЗАЦІЇ ВРАЗЛИВОСТЕЙ ЗА EPSS V4 І V5 BETA

Анотація

Досліджено, як відрізняються пріоритетні списки вразливостей, отримані за EPSS v4 та EPSS v5 beta, і які обмеження має оцінювання цих відмінностей за наступними включеннями до каталогу CISA Known Exploited Vulnerabilities. Мета роботи — зіставити зміну складу списків із наступними записами KEV та перевірити часову доступність самих файлів оцінок. Використано всі 18 парних дат, наявних у зафіксованому відкритому beta-архіві: від 22 травня до 8 червня 2026 року. Для кожної дати сформовано спільну сукупність CVE, оцінених обома версіями, і вилучено записи, вже включені до KEV. Порівняно списки розміру 100, 500, 1000 і 5000 та охоплення наступних включень до каталогу за 30 і 90 днів. Повторні спостереження одного CVE збережено разом під час кластерного bootstrap; додатково перевірено групування за датою включення до KEV та однакову вагу кожного CVE. У списках top-100 двох версій спільними є лише 21–23 CVE, хоча між сусідніми днями кожної окремої версії зберігається щонайменше 98% цього списку. За 90-денного горизонту 420 позитивних спостережень CVE-дата відповідають лише 35 різним CVE. Для top-5000 частка охоплення з вагами за кількістю дат становить 7,86% у v4 та 15,71% у beta; парна різниця дорівнює 7,86 відсоткового пункту, а розвідувальний 95% кластерний інтервал — від −4,18 до 21,44 пункту. Аудит Git виявив, що поточні байти 12 beta-файлів мають коміт пізніше за дату оцінки, а три файли виправлено без зміни позначень дати та версії моделі в заголовку. На шести датах за критерієм коміту того самого дня оцінка різниці також має високу невизначеність. Результати показують необхідність розділяти зміну пріоритетного списку, доступність оцінок і невизначеність охоплення наступних KEV. Практичним результатом є відтворюваний аудит із пофайловими хешами та перевірками, придатний для аналізу міграції джерел оцінювання. У чистому тестовому середовищі повторено обчислення, а на трьох раніше не використаних липневих зрізах випущеної v5 одержано повний збіг відбору й метрик у двох програмних реалізаціях. Висновки не переносяться автоматично на випущену v5, реальну експлуатацію або інвентар конкретної організації.