Når en scanning giver flere sårbarheder, end driften kan rette på en uge, skal der vælges en rækkefølge. Tre offentlige signaler hjælper: CVSS, der måler alvorlighed, EPSS, der anslår sandsynligheden for udnyttelse, og CISA’s KEV-katalog, der viser, hvad der allerede er udnyttet. Brugt sammen og holdt op mod jeres eget miljø giver de en rækkefølge, der kan begrundes.
Ingen af dem er en risikoscore for jeres virksomhed. Det siger organisationerne bag dem selv. Derfor er det sammenkoblingen med jeres egne oplysninger, der gør forskellen.
CVSS måler alvorlighed
CVSS udgives af FIRST. Version 4.0 har fire grupper af mål: Base, Threat, Environmental og Supplemental. Skalaen går fra 0,0 til 10,0, med lav fra 0,1 til 3,9, middel fra 4,0 til 6,9, høj fra 7,0 til 8,9 og kritisk fra 9,0 til 10,0.
FIRST understreger, at CVSS måler alvorlighed og ikke risiko. Den score, der står i en offentlig database eller en scannerrapport, er typisk basisscoren, kaldet CVSS-B. FIRST anbefaler brugerne at berige den med trussels- og miljømål, så den bliver et bedre input til egen risikovurdering. En score, der bygger på alle tre, kaldes CVSS-BTE.
I praksis betyder det, at en sårbarhed med høj basisscore kan være mindre vigtig hos jer, fordi systemet ikke kan nås, og en med middel score kan være vigtigere, fordi systemet står på internettet.
EPSS anslår sandsynligheden
EPSS, også fra FIRST, anslår sandsynligheden for, at en offentliggjort CVE bliver udnyttet inden for de næste 30 dage. Tallet udgives dagligt for alle CVE’er, som en sandsynlighed mellem 0 og 1 og en percentil.
FIRST er tydelig om, hvad EPSS ikke er. Den er ikke en fuld risikoscore. At gange EPSS med CVSS kalder FIRST aldrig en god idé. EPSS kender ikke jeres miljø og ved ikke, om sårbarheden kan nås hos jer. Tærskler for, hvornår en EPSS-værdi er høj nok til at handle, er lokale beslutninger. Modellen genoptrænes cirka en gang om året, så værdierne kan flytte sig.
KEV viser det, der er sket
CISA’s katalog over kendte udnyttede sårbarheder, KEV, er ifølge CISA den autoritative kilde til sårbarheder, der er udnyttet i praksis. For at komme på listen skal en sårbarhed have et CVE-id, der skal være pålideligt bevis for aktiv udnyttelse, og der skal findes en klar afhjælpning. Scanning, forskning og proof-of-concept tæller ikke som udnyttelse.
CISA anbefaler alle organisationer at have et krav i deres sårbarhedsstyring om straks at håndtere sårbarheder i KEV. FIRST siger det samme fra den anden side: KEV er historik, EPSS er en prognose, og står en sårbarhed i KEV, behandles den som aktivt udnyttet uanset dens EPSS-værdi.
I juni 2026 udstedte CISA BOD 26-04 for amerikanske civile føderale myndigheder. Direktivet ophæver de to tidligere direktiver om sårbarheder og KEV og sætter frister ud fra fire forhold: om aktivet er eksponeret, om CVE’en står i KEV, om udnyttelsen kan automatiseres, og om angriberen får delvis eller fuld kontrol. Direktivets dagefrister står i en tabel, der ikke er læst til denne artikel, så de gengives ikke her. De fire forhold er dog en brugbar tjekliste.
Sådan bruges de sammen
En rækkefølge, der kan begrundes, kan bygges i trin. Eksemplet er tænkt og skal tilpasses.
Først det, der står i KEV og findes på jeres systemer. Det er udnyttet, og CISA og FIRST er enige om, at det går forrest.
Dernæst det, der har høj EPSS-værdi efter jeres egen tærskel, eller høj alvorlighed efter CVSS, på systemer, der er eksponerede eller kritiske for forretningen.
Til sidst resten efter alvorlighed og aktivets betydning.
DORA’s tekniske standard, artikel 10, beder finansielle enheder prioritere ud fra sårbarhedens kritiske betydning, aktivets klassificering og risikoprofil. Det er samme tanke: signalerne udefra koblet med jeres egen viden om systemet.
Cyber Essentials bruger CVSS v3 basisscore 7 eller derover som grænsen for “kritisk eller høj”. Leverandørers egne betegnelser kan afvige, så skriv i jeres politik, hvilken skala I bruger.
Det, gennemgangen ser efter
Gennemgangen spørger, om der findes en skrevet prioriteringsregel, og om den bliver fulgt. Et udtræk af åbne sårbarheder, holdt op mod KEV på gennemgangsdagen, viser hurtigt, om de udnyttede er håndteret først. Et udtræk af lukkede sårbarheder med datoer viser, om rækkefølgen svarer til reglen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en systemliste med eksponering og forretningsbetydning og adgang til de tre offentlige signaler. Det sværeste er at holde jeres egne oplysninger om aktiverne ajour.
Uden en regel bliver rækkefølgen afgjort af scannerens farver eller af, hvad der er lettest. Så kan en udnyttet sårbarhed på et internetvendt system stå i kø bag hundredvis af højere scorer på interne testmaskiner.
Det skal I lade være med
- At gange EPSS med CVSS · FIRST fraråder det udtrykkeligt.
- At læse basisscoren som jeres risiko · den kender ikke jeres miljø.
- At lade KEV-sårbarheder vente på en høj nok score · de er udnyttet og går forrest.
Det skal gennemgangen kunne vise
- ☐ En skrevet prioriteringsregel, der bruger KEV, EPSS og CVSS sammen med aktivets betydning.
- ☐ Et udtræk af åbne sårbarheder holdt op mod KEV på gennemgangsdagen.
- ☐ Lukkede sårbarheder med datoer, der viser, at rækkefølgen fulgte reglen.
- ☐ Den lokale tærskel for EPSS og den skala, der bruges for alvorlighed.
Kilder
- FIRST, CVSS v4.0 Specification Document, version 1.2, læst 13. november 2026.
- FIRST, EPSS, med FAQ og “Using EPSS”, læst 13. november 2026.
- CISA, Known Exploited Vulnerabilities Catalog, læst 13. november 2026.
- CISA, BOD 26-04: Prioritizing Security Updates Based on Risk, 10. juni 2026, tekst, tabel 1 ikke læst, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 10, stk. 2, læst 13. november 2026.
- NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3, april 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Hent KEV-kataloget i dag, og se, hvor mange af jeres åbne sårbarheder der står i det.
Læs også: Alvorlighed af konfigurationsfund · Kantudstyr først
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
