Un CVSS di 9.9 non dovrebbe mai essere liquidato con un’alzata di spalle. Eppure, con CVE-2024-57726, forse è proprio quello che dovremmo fare: smetterla di fissare il punteggio e cominciare a guardare il sistema che lo circonda. Questa vulnerabilità, ora elencata nell’elenco KEV di CISA, colpisce SimpleHelp, un software di supporto remoto utilizzato da aziende per assistere utenti a distanza. Il difetto? Un tecnico con privilegi minimi può generare chiavi API con permessi massivi — e da lì, prendersi il controllo dell’intero sistema.
Il teatro dell’assurdo: patchiamo il sintomo, non la malattia
Il punto non è che CVE-2024-57726 sia trascurabile. È grave. È sfruttato in natura. È stato inserito nell’elenco delle vulnerabilità note ed exploitato per una buona ragione. Ma il dibattito si è subito fossilizzato su: avete patchato? Come se il semplice atto di applicare una correzione trasformasse magicamente un’organizzazione in un fortilizio. La realtà è più amara: secondo il CrowdStrike Global Threat Report 2026, il 42% delle vulnerabilità sfruttate nel 2025 era già armaicolta prima della divulgazione pubblica. Nessuna patch disponibile. Nessun avviso CISA. Solo silenzio — e un attaccante già dentro.
In questo scenario, la corsa alla patch diventa una gara persa in partenza. Il tempo medio tra la pubblicazione di una patch e il suo sfruttamento è di 187 giorni. Ma gli attaccanti non aspettano. Si muovono in giorni, ore, a volte minuti. E se il tuo processo di patching richiede settimane di testing, approvazioni e window di manutenzione, allora sei già fuori gioco.
API key: il portachiavi dimenticato sotto lo zerbino
La natura specifica di CVE-2024-57726 rivela una verità scomoda: le chiavi API sono diventate il nuovo punto cieco della sicurezza. Non sono password, non sono utenti, eppure spalancano porte. Eppure, in molte organizzazioni, vengono create senza scadenza, senza audit, senza contesto di least privilege. Un tecnico di livello base, in un sistema mal configurato, può generare una chiave con diritti da amministratore globale — e usarla per esfiltrare dati, disabilitare controlli o distribuire malware.
Questo non è un problema di SimpleHelp. È un problema di design. Di cultura operativa. Di controllo dell’identità. Le chiavi API sono spesso trattate come dettagli tecnici, non come identità di prima classe. E quando non vengono monitorate, rotte, limitate nel tempo e nello spazio, diventano vettori stabili per l’escalation dei privilegi. CVE-2024-57726 è solo l’ultimo esempio di un pattern consolidato: l’abuso di credenziali legittime per muoversi lateralmente.
Zero trust: non è un optional, è l’unico piano di emergenza
Se il 42% degli exploit nasce prima della patch, e il 187 giorni di latenza è la norma, allora la difesa perimetrale e la patch management reattiva non bastano. Serve un cambio di paradigma. Serve il modello zero trust — non come buzzword, ma come pratica quotidiana. Verifica tutto. Fidati di niente. Limita ogni accesso al minimo necessario.
Nel caso di SimpleHelp, un modello zero trust avrebbe potuto contenere l’impatto anche in assenza di patch. Immagina: la chiave API viene generata con privilegi eccessivi, ma il sistema di autorizzazione la isola, ne limita le azioni, ne traccia ogni chiamata. L’attaccante ottiene accesso, ma non può muoversi. Il blast radius si riduce a un singolo nodo. Il tempo per rispondere aumenta. La probabilità di rilevamento sale.
La lezione è chiara: non puoi prevedere ogni CVE. Ma puoi progettare un sistema che ne limiti l’impatto. La sicurezza non è assenza di vulnerabilità. È capacità di resistere al loro sfruttamento.
E mentre aspettiamo il prossimo 9.9 CVSS, forse è il caso di chiedersi: quanti portachiavi lasciamo incustoditi, e quanto dura il nostro tempo di reazione quando qualcuno li trova?