48.000 vulnerabilità: quali contano davvero?
Nel 2025 il CVE Program ha pubblicato 48.185 nuove CVE (Common Vulnerabilities and Exposures), circa 132 al giorno. Di queste, meno del 10% e' classificato come critico (CVSS 9.0+). Nessuna PMI può patchare tutto: la chiave è sapere cosa patchare prima.
CVSS non basta
Il Common Vulnerability Scoring System (CVSS) assegna un punteggio da 0 a 10 a ogni vulnerabilità. Ma il CVSS misura la gravità teorica, non il rischio reale per la vostra azienda. Una CVE con CVSS 9.8 che riguarda un software che non usate ha rischio zero per voi. Una CVE con CVSS 7.5 che riguarda il vostro VPN esposto su internet è un'emergenza.
Il framework EPSS
L'Exploit Prediction Scoring System (EPSS) di FIRST.org aggiunge un dato cruciale: la probabilità che una vulnerabilità venga effettivamente sfruttata nei prossimi 30 giorni. Combinare CVSS ed EPSS permette una prioritizzazione efficace:
- CVSS ≥ 9.0 + EPSS > 0.5: patch entro 48 ore: exploit attivo probabile
- CVSS ≥ 7.0 + EPSS > 0.3: patch entro 7 giorni
- CVSS ≥ 7.0 + EPSS < 0.1: patch entro 30 giorni
- CVSS < 7.0: ciclo di patching ordinario
CVE sfruttate attivamente nelle campagne del 2024
Alcuni esempi concreti di vulnerabilità sfruttate attivamente contro PMI:
- CVE-2024-21887 (Ivanti Connect Secure): CVSS 9.1. Sfruttata dal gruppo UNC5221 in catena con la CVE-2023-46805 per accedere alle VPN aziendali, e inserita nel catalogo CISA KEV il 10 gennaio 2024, con scadenza di remediation fissata al 22 gennaio.
- CVE-2023-46805 (Ivanti): bypass autenticazione combinato con la precedente. Catena di exploit devastante.
- CVE-2024-3400 (Palo Alto PAN-OS): CVSS 10.0. Command injection sul firewall senza autenticazione. Exploit disponibile pubblicamente in 48 ore.
- CVE-2024-1709 (ConnectWise ScreenConnect): CVSS 10.0. Authentication bypass sul software di gestione remota usato da MSP.
Il programma di vulnerability management per PMI
Un programma efficace non richiede strumenti enterprise. Ecco l'approccio minimo:
- Inventario: sapere esattamente quali software e versioni usate (SBOM per i più strutturati)
- Scanning: vulnerability scan mensile con strumenti open source come OpenVAS o Nuclei
- Prioritizzazione: usare CVSS + EPSS + contesto aziendale per decidere cosa patchare prima
- Patching: SLA definiti per criticità (48h/7gg/30gg)
- Verifica: re-scan dopo il patching per confermare la risoluzione
Non serve perfezione: serve un processo ripetibile. Un vulnerability management anche basilare vi mette avanti rispetto all'80% delle PMI italiane. La piattaforma VALTA correla le CVE pubblicate con i software effettivamente in uso nella vostra infrastruttura, fornendo prioritizzazione contestualizzata. Integrata con Presidio XDR, le vulnerabilità critiche attivano alert automatici e workflow di patching.