Per anni la gestione delle vulnerabilita ha avuto una bussola semplice: il punteggio CVSS. Piu alto, piu urgente. Nel 2026 quella bussola non basta piu, per due ragioni che si sommano: gli attacchi sono diventati velocissimi e la fonte di riferimento per i punteggi si e inceppata.
Il tempo per sfruttare una falla si e azzerato
Con l’AI che trova e arma vulnerabilita a velocita di macchina (ne abbiamo parlato a proposito di Claude Mythos), la finestra tra divulgazione e sfruttamento si e chiusa. I report di settore del 2026 indicano che una quota rilevante delle vulnerabilita viene sfruttata prima che esista una patch. In questo scenario, “patchare tutto in ordine di CVSS” e una corsa persa in partenza.
Il CVSS da solo manca un terzo degli attacchi reali
C’e poi un problema di dati: il National Vulnerability Database (NVD) statunitense ha smesso di assegnare il punteggio alla maggior parte dei nuovi CVE. Chi continua a fare triage solo sul CVSS dell’NVD rischia di ignorare circa un terzo delle vulnerabilita effettivamente sfruttate nell’anno. Il triage moderno parte da altro.
KEV ed EPSS: i due segnali da usare
- CISA KEV (Known Exploited Vulnerabilities): l’elenco delle vulnerabilita di cui e confermato lo sfruttamento attivo. E la priorita assoluta. Le agenzie federali USA, per la direttiva BOD 22-01, devono rimediarle entro scadenze strette; un buon riferimento privato e un ciclo di patch di 7-14 giorni per ogni voce in KEV.
- EPSS (Exploit Prediction Scoring System): stima la probabilita che una vulnerabilita venga sfruttata. Utile, ma con un limite noto: secondo l’analisi di Nucleus Security il punteggio EPSS si muove in modo significativo soprattutto dopo l’inserimento in KEV — quindi va usato come uno dei segnali, non come allarme precoce infallibile.
Il cambio di mentalita
La conclusione operativa non e “patchare piu in fretta” all’infinito, ma combinare evidenze a strati — KEV, EPSS, esposizione reale dell’asset, criticita del servizio — e ridurre la superficie prima ancora di dover correre. Le squadre che nel 2026 riducono l’esposizione piu rapidamente sono quelle che agiscono su prove combinate, senza aspettare il consenso del mercato.
Fonti: CISA Known Exploited Vulnerabilities Catalog; Nucleus Security; analisi di vulnerability management 2026. I dati quantitativi sono riportati dalle rispettive fonti.