Окинув грустным взглядом CISA KEV в голову приходит мысль: надо что-то менять. Нет, не отказываться от KEV вообще.
Я скорей о том, можно ли собрать что-то своё из текущих данных. И в теории да.

Да, есть платные сервисы, вроде VulnCheck, но и там не без проблем.

Немного порассуждаем без цифр, схем, формул и кода.
Помимо CISA KEV (выбрасывать который не обязательно) у нас есть:
- Metasploit и список эксплоитов в нём
- exploit-db (и его гитлаб)
- PoC-in-GitHub
- Nuclei и его шаблоны
- CISA KEV (если вы его не выбросили). В данном случае он скорей как индикатор "настолько плохо, что есть даже там"

В итоге мы получаем 4 источника информации о эксплоитах (где-то фактических, где-то просто отметку, что такой есть) и инструмент, который это просто и быстро может детектить. Набор источников и инструментов может быть больше, я беру то, что доступно.

Что можно сделать дальше?
- Просто складывать количество эксплоитов из разных источников: можно, но мы получим даже не количественную метрику, а просто количество вхождений.
- Назначение веса каждому индикатору: выглядит как направление к решению. Эксплоит из вашего любимого фреймворка (не обязательно msf) явно будет иметь вес значительно выше, чем китайский PoC на perl с Github.

Учитывать ли EPSS? Вопрос любопытный. Всегда казалось, что он должен был быть эдакой "серебрянной пулей" в VM, но фактически он отстаёт. Если только считать какой-то EPSS Base Score и ваш EPSS Custom Score.

Но это всё только часть мозаики, так как ещё надо учитывать CVSS Temporal Score, как-то считать CVSS Environmental Score.
А если у вас есть TI\TH или готовая коробка с этим всем, то можно ещё и Threat Factor учитывать.