Introduzione
La Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto due nuove vulnerabilita' al suo catalogo KEV, ovvero CVE-2026-42271 e CVE-2026-50751, a causa della loro attiva sfruttamento. Queste vulnerabilita' rappresentano rischi significativi per le imprese, specialmente quelle federali, in quanto possono essere sfruttate da attaccanti per accedere a sistemi e dati sensibili.
Il problema della gestione delle vulnerabilita'
Il fatto che il 42% delle vulnerabilita' sfruttate nel 2025 sia stato weaponizzato prima della divulgazione pubblica, come riportato da CrowdStrike, sottolinea un fallimento nella gestione delle vulnerabilita', non solo un problema tecnico. Secondo IBM, il costo medio di una violazione dei dati e' di 4,44 milioni di dollari, evidenziando gli elevati rischi finanziari.
La matematica difensiva
Per ridurre l'esposizione, e' fondamentale:
- dare priorita' alla risoluzione delle vulnerabilita' nel catalogo KEV entro 14 giorni, come previsto dal BOD 22-01
- implementare una pratica di gestione delle vulnerabilita' che includa revisioni regolari del catalogo KEV per stare al passo con le minacce emergenti
- misurare l'efficacia della gestione delle vulnerabilita' tracciando la percentuale di vulnerabilita' risolte entro 30 giorni, con l'obiettivo di raggiungere il benchmark del 90% stabilito dalle best practice
Conclusioni
La capacita' di un'organizzazione di risolvere vulnerabilita' note sfruttate piu' velocemente della media di 187 giorni per la finestra di patch-to-exploit e' fondamentale per ridurre i rischi di violazione dei dati e di attacchi informatici