L’intelligenza artificiale sta accelerando la scoperta delle vulnerabilità, ma non rende automaticamente più facile difendersi. Il punto che interessa davvero le aziende è un altro: se il numero di segnalazioni cresce molto più in fretta della capacità di intervento, diventa essenziale capire quali problemi sono davvero sfruttabili nel proprio ambiente e quali, invece, possono aspettare.
Per una PMI questo cambia il modo di gestire la sicurezza: non basta più rincorrere ogni alert o ogni CVE con punteggio alto. Serve un metodo per distinguere le esposizioni realmente pericolose da quelle solo teoricamente gravi, così da concentrare tempo, budget e persone dove il rischio operativo è concreto.
Il problema non è solo quante vulnerabilità escono
Secondo i dati citati da The Hacker News il primo semestre del 2026 ha registrato 35.853 CVE pubblicate, circa il 49% in più rispetto all’anno precedente. È un incremento che da solo basta a spiegare perché molti team IT, anche ben organizzati, facciano fatica a stare al passo.
Ma c’è un secondo dato ancora più importante: nello stesso periodo solo 495 vulnerabilità sono state catalogate come effettivamente sfruttate “in the wild”, cioè in attacchi reali. Inoltre, 116 risultavano già sotto attacco il giorno stesso della pubblicazione.
Questo significa due cose:
- la velocità tra divulgazione e sfruttamento si sta riducendo;
- non tutte le vulnerabilità pubblicate richiedono la stessa urgenza.
Per chi gestisce un’azienda, la conseguenza pratica è chiara: trattare ogni vulnerabilità critica come un’emergenza assoluta non è realistico. E, soprattutto, non è il modo migliore per proteggere l’operatività.
Perché il punteggio CVSS non basta più
Il CVSS resta utile perché fornisce una misura comune della gravità tecnica di una vulnerabilità. Tuttavia, non dice da solo se quella debolezza è davvero pericolosa per la tua organizzazione.
Una stessa CVE può comparire su molti asset diversi, ma con impatti completamente differenti. In alcuni casi il sistema vulnerabile non è raggiungibile dall’esterno. In altri è protetto da controlli che interrompono l’attacco. In altri ancora si trova su un server critico per il business, esposto e con difese insufficienti.
In pratica, la domanda corretta non è soltanto “quanto è grave questa vulnerabilità?”, ma piuttosto:
- è sfruttabile nel mio ambiente?
- su quali sistemi è presente davvero?
- quei sistemi sono accessibili a un attaccante?
- se fossero compromessi, il danno per l’azienda sarebbe significativo?
Questa valutazione di contesto è ciò che trasforma una lunga lista di vulnerabilità in una priorità operativa sensata.
L’AI aumenta il rumore, ma anche la pressione sui difensori
L’articolo evidenzia anche un altro aspetto rilevante: i modelli AI stanno contribuendo a far emergere un volume molto più alto di candidati vulnerabilità. Nei dati citati, modelli classificati come “Mythos-class” hanno individuato 26.153 candidati in software open source, ma solo 421 sono stati corretti upstream.
Al di là delle definizioni tecniche, il messaggio è semplice: la capacità di trovare potenziali problemi sta crescendo più rapidamente della capacità di verificarli, correggerli e portarli a chiusura.
Per un’azienda, questo crea un paradosso. Aumentano le informazioni disponibili, ma non sempre aumenta la chiarezza. Se il processo interno non filtra bene ciò che conta davvero, si rischia di sprecare risorse su falsi allarmi, issue marginali o sistemi poco esposti, trascurando invece le vere vie d’ingresso che potrebbero essere usate in un attacco reale.
Il penetration test automatico aiuta, ma non risolve tutto
Uno dei punti più interessanti della notizia riguarda la validazione tecnica. Eseguire test automatici o attività di pentesting permette di ottenere prove più solide: ad esempio verificare se una vulnerabilità è sfruttabile davvero, se più debolezze possono essere concatenate e fino a dove potrebbe spingersi un attaccante nella rete.
Il problema è che questa copertura non è completa. La ricerca Omdia citata nell’articolo indica che il 95% delle organizzazioni considera il pentesting una priorità alta o molto alta, ma in media solo il 32% della superficie d’attacco viene testato ogni anno.
Inoltre, non sempre è possibile testare tutto in modo sicuro. Alcune vulnerabilità appena pubblicate non hanno ancora un exploit disponibile. Alcuni sistemi sono troppo critici per consentire prove intrusive. Altri ancora si trovano in ambienti segregati o con forti limitazioni operative.
Quindi il pentesting, anche automatizzato, è prezioso ma non basta da solo. Serve come parte di una strategia più ampia di validazione.
La validazione diventa il vero centro della difesa
Il punto chiave è proprio questo: la sicurezza moderna non può limitarsi a “scoprire vulnerabilità”. Deve validarle.
Nel modello descritto dalla fonte, ci sono tre piani distinti ma complementari:
- validazione della sfruttabilità, per capire se una esposizione è realmente attaccabile nel contesto aziendale;
- validazione dei controlli di sicurezza, per verificare se prevenzione e rilevamento bloccano davvero l’attacco oppure lo lasciano passare;
- pentesting agentico o automatizzato, per simulare attacchi reali e capire come un aggressore potrebbe muoversi nella rete.
La differenza è sostanziale. Non si tratta più solo di avere un elenco di problemi aperti, ma di raccogliere evidenze utili a decidere cosa correggere subito, cosa mitigare e cosa monitorare.
Questo approccio riduce anche un difetto molto comune nelle aziende: chiudere ticket senza verificare se la correzione è davvero efficace. La validazione, invece, reintroduce il controllo finale: la vulnerabilità è stata sistemata? Il controllo funziona? Il rischio residuo è accettabile?
Cosa significa per la tua azienda
Per una PMI italiana il rischio principale non è “avere troppe vulnerabilità” in senso astratto. Il rischio vero è non avere un criterio per ordinarle e agire in tempo sulle poche che possono davvero fermare il business, esporre dati o aprire la strada a un ransomware.
Ecco le priorità pratiche da mettere a terra:
1. Costruisci un inventario affidabile degli asset
Se non sai con precisione quali server, PC, firewall, applicazioni cloud e dispositivi sono presenti, non puoi valutare correttamente l’esposizione. L’inventario deve includere anche criticità del sistema e proprietario interno.
2. Classifica i sistemi in base all’impatto sul business
Un file server amministrativo, il gestionale, il centralino VoIP e il PC di un commerciale non hanno lo stesso peso. La priorità di intervento deve combinare gravità tecnica e impatto aziendale.
3. Non inseguire tutte le CVE allo stesso modo
Una vulnerabilità critica su un sistema isolato può essere meno urgente di una vulnerabilità media su un servizio esposto a Internet e protetto male. Il criterio corretto è rischio reale, non solo severità teorica.
4. Verifica l’efficacia dei controlli già in uso
Antivirus, EDR, firewall, segmentazione, MFA e sistemi di logging devono essere controllati periodicamente. Non basta averli acquistati: bisogna sapere se fermano davvero le tecniche di attacco più probabili. In quest’area rientrano i servizi di sicurezza informatica, soprattutto quando servono una valutazione esterna e un piano di miglioramento concreto.
5. Proteggi i dati come se una parte dei sistemi potesse comunque cadere
Poiché non tutte le esposizioni possono essere eliminate immediatamente, il backup resta una misura decisiva di resilienza. Per questo è fondamentale che copie e ripristino siano verificati, separati e affidabili, ad esempio con soluzioni di remote backup.
6. Trasforma la gestione quotidiana in processo continuo
Patch management, aggiornamenti dei client, verifica degli endpoint, controllo delle configurazioni e risposta agli alert non possono dipendere solo dalla buona volontà del momento. Hanno bisogno di cadenze, responsabilità e strumenti. Per molte PMI la via più efficace è formalizzare tutto in un servizio gestito o in un contratto di assistenza informatica.
Dal “fare scansioni” al decidere meglio
Negli ultimi anni molte aziende hanno investito in strumenti capaci di generare report molto dettagliati. Il problema è che un report non è una decisione. Se mancano contesto, priorità e verifica, i risultati si accumulano senza produrre una reale riduzione del rischio.
La novità del 2026 non è soltanto l’aumento delle vulnerabilità pubblicate. È il fatto che questo aumento rende inefficace un approccio puramente quantitativo. Più finding non significano automaticamente più sicurezza. Senza una validazione coerente, significano spesso più backlog, più confusione e più ritardi.
Per questo il cambio di paradigma è importante anche fuori dalle grandi aziende: una PMI che sa quali asset sono critici, quali esposizioni sono davvero sfruttabili e quali controlli funzionano realmente può difendersi meglio di un’organizzazione che colleziona dashboard ma non riesce a tradurle in azioni.
Domande frequenti
Dobbiamo correggere subito tutte le vulnerabilità critiche?
No. Le vulnerabilità con severità alta o critica vanno prese molto sul serio, ma la priorità reale dipende anche da esposizione, raggiungibilità, importanza del sistema e presenza di controlli compensativi.
Il pentesting automatico sostituisce le altre verifiche?
No. È utile per ottenere prove concrete di sfruttabilità, ma non copre ogni situazione. Alcuni asset non si possono testare in modo invasivo e alcune vulnerabilità non hanno exploit disponibili.
Qual è il primo passo pratico per una PMI?
Avere un inventario aggiornato degli asset e classificare i sistemi in base all’impatto sul business. Senza questa base, ogni priorità sulle vulnerabilità rischia di essere poco affidabile.