Pillole di vulnerabilità · 01 di 24
Severità e stato di sfruttamento: N/A – dato di scenario. Fonti primarie: Verizon DBIR 2026, Mandiant M-Trends 2026, VulnCheck State of Exploitation.
Difficoltà: base Lettura: 4-5 minuti
Per anni la risposta alla domanda «come sono entrati?» era quasi sempre la stessa: una password. Rubata, indovinata, riusata. Nel 2026 quella risposta è cambiata. Il Verizon DBIR registra lo sfruttamento di vulnerabilità nel 31% degli accessi iniziali — un +55% in un anno — e per la prima volta nella storia del report le credenziali non sono più al primo posto. Mandiant conferma con il 32% e aggiunge il dato che dovrebbe togliere il sonno a chi gestisce le patch: il tempo medio di sfruttamento è diventato negativo. Si attacca prima che la patch esista. Questa serie di 24 pillole parte da qui, e le prossime ventitré sono ordinate esattamente con questo criterio: quanto una cosa viene sfruttata davvero.
Perché conta — I numeri in sintesi
Verizon DBIR 2026: lo sfruttamento di vulnerabilità pesa il 31% degli accessi iniziali (+55% su base annua) e per la prima volta nella storia del report supera le credenziali. Mandiant M-Trends 2026 conferma con il 32%, sesto anno consecutivo al primo posto, e registra un Mean Time to Exploît negativo (-7 giorni: si sfrutta prima che la patch esista). Il tempo mediano di remediation dei KEV è salito a 43 giorni (da 32) e solo il 26% dei KEV viene chiuso completamente. Il passaggio di consegne fra initial access broker e gruppo secondario è sceso a 22 secondi.
Due metodologie diverse, lo stesso numero
Il Data Breach Investigations Report di Verizon esiste da diciannove anni, e in diciannove anni le credenziali rubate non erano mai scese dal primo posto. Nell’edizione 2026 lo sfruttamento di vulnerabilità passa dal 20% al 31% degli accessi iniziali e le supera. Mandiant lavora su un campione completamente diverso: non un sondaggio, ma le ore di incident response sul campo. Arriva al 32%, e per il sesto anno consecutivo l’exploit è il primo vettore nel suo conteggio. Quando due metodologie indipendenti convergono su numeri così vicini, di solito il dato è solido. C’è un terzo dettaglio del DBIR che passa quasi inosservato: riclassificando gli apparati di accesso remoto in una categoria «Network» dedicata, quella categoria è salita dall’1,5% al 5% delle violazioni. In termini assoluti è poco. In termini di crescita è più che triplicata in un anno — ed è il motivo per cui in questa serie dieci pillole su ventiquattro parlano di dispositivi di perimetro.
Il tempo medio di sfruttamento e’ negativo
Questo è il numero da ricordare. M-Trends 2026 stima il mean time to exploit del 2025 a meno sette giorni: in media, lo sfruttamento comincia una settimana prima che esista una patch. «In media» è la parte importante. Non stiamo parlando del caso limite, dello zero-day mirato contro il bersaglio di alto valore: stiamo parlando della media di un campione ampio. VulnCheck illumina lo stesso fenomeno da un’altra angolazione: nel 2025 ha registrato 884 vulnerabilità con prima evidenza di sfruttamento, e il 28,96% è stato sfruttato il giorno stesso della pubblicazione del CVE o prima. L’anno precedente era il 23,6%. Tradotto in pratica: per quasi un terzo del catalogo, il ciclo mensile del patch management è già in ritardo il giorno in cui parte.
Ventidue secondi
Nel 2022 il tempo mediano fra l’accesso iniziale e il passaggio di consegne al gruppo successivo era di oltre otto ore. Nel 2025 sono ventidue secondi. Dietro quel numero c’è la specializzazione del mercato criminale: chi trova la porta aperta non è chi entra a rubare. Gli initial access broker scansionano, sfruttano, verificano e rivendono — e la parte automatizzabile di quella catena è ormai quasi tutta automatizzata. Per il difensore significa che la finestra in cui «qualcuno è dentro ma non ha ancora fatto niente» non esiste più. Vale la pena affiancare un altro numero dello stesso report, che racconta l’altra metà della storia: il dwell time mediano globale è salito a 14 giorni, da 11 dell’anno prima. Entrare è diventato istantaneo. Accorgersene, no.
Perché il difensore sta perdendo terreno
Il DBIR mette in fila quattro dati che, letti insieme, spiegano tutto:
- il tempo mediano per rimediare una vulnerabilità nota come sfruttata è di 43 giorni, contro i 32 dell’anno precedente;
- solo il 26% delle vulnerabilità del catalogo KEV risulta completamente rimediato, contro il 38% dell’anno prima;
- al settimo giorno dalla rilevazione, fra il 60% e il 70% delle KEV resta aperto — e questo indipendentemente dalla maturità dell’organizzazione;
- il dataset è passato da 68,7 milioni di istanze di vulnerabilità nel 2022 a 527 milioni nel 2025.
L’ultimo punto spiega i primi tre. Non è pigrizia e non è incompetenza: è che il numeratore cresce molto più in fretta della capacità di chiudere. Ed è esattamente per questo che scegliere cosa patchare per primo è diventata la competenza più preziosa che ci sia.
La conclusione da non trarre
Che le credenziali non contino più. Non è quello che dicono i dati. L’exploit è il modo prevalente di entrare; l’identità resta il modo prevalente di restare e di muoversi lateralmente, soprattutto nel cloud, dove Google Cloud attribuisce alla compromissione di un’identità la larga maggioranza degli incidenti gravi. Sono due fasi diverse dello stesso attacco, e le vedremo entrambe: le pillole 22 e 23 di questa serie sono interamente sulle identità.
Come leggere le prossime ventitré pillole
Il CVSS misura quanto è grave un bug in astratto. Non misura se qualcuno lo sta usando contro di te in questo momento. Sono due domande diverse, e la seconda è quella che decide l’ordine di una lista di patch. I tre segnali che in questa serie contano più del CVSS sono:
- KEV — il catalogo CISA delle vulnerabilità con sfruttamento confermato. Non è una stima: è un’osservazione.
- EPSS — la probabilità stimata che una vulnerabilità venga sfruttata nei trenta giorni successivi.
- Esposizione reale — ce l’hai davvero? è raggiungibile da Internet? il prodotto è ancora supportato?
Nessuno dei tre basta da solo, e nella serie vedremo entrambi i modi di sbagliare. CVE-2026-0257 su PAN-OS, che incontreremo nella pillola 5, era stata classificata come severità media dal vendor: due settimane dopo era nel catalogo KEV con un EPSS di 0,939. All’opposto, le vulnerabilità SharePoint della pillola 8 hanno punteggi EPSS bassi e sono finite in mano a un gruppo ransomware. Il CVSS ti dice quanto può fare male; gli altri segnali ti dicono se sta già succedendo.
Dieci minuti, adesso
Prima di passare alla prossima pillola, fai questa cosa:
- Scarica il catalogo KEV in formato JSON dal sito della CISA (il feed è linkato dalla pagina del catalogo).
- Conta quanti CVE del 2026 contiene: jq ‘[.vulnerabilities[] | select(.cveID | startswith(“CVE-2026”))] | length’ known_exploited_vulnerabilities.json
- Estrai l’elenco dei vendor e confrontalo con quello che hai davvero in esercizio — anche solo nel tuo homelab.
Il numero che ottieni al punto 2 è la lista delle cose che qualcuno sta usando oggi. Le prossime ventitré pillole sono, in sostanza, la parte di quella lista che ti riguarda di più.
Prossima pillola: React2Shell — come una deserializzazione ha reso RCE metà del web moderno (CVE-2025-55182)