45.601 falle, solo 171 vengono davvero usate

Due fonti, contate la stessa mattina

Alle sette di sera del 27 luglio la CISA ha pubblicato la versione 2026.07.27 del suo catalogo delle vulnerabilità sfruttate note. Sono entrate due voci: una falla in Fortinet FortiOS e un'iniezione di comandi nel VeloCloud Orchestrator di Arista. Il catalogo è così arrivato a 1.655 voci, cioè tutto quello che l'agenzia è riuscita a confermare come attaccato da quando l'elenco è nato, nel 2021.

La mattina dopo abbiamo interrogato l'altra fonte. Il National Vulnerability Database, gestito dal NIST, dice quante vulnerabilità portano una data di pubblicazione dentro qualunque intervallo si chieda. Per il periodo dal 1 gennaio al 28 luglio 2026 la risposta è 45.601. Per lo stesso intervallo del 2025 sono 28.032. Per il 2024 erano 23.486.

Sono due numeri pubblici, entrambi gratuiti, e quasi nessuno li mette uno accanto all'altro. Affiancati dicono una cosa che la copertura di questa settimana ha completamente mancato.

Non sta raddoppiando

Partiamo dall'affermazione che ha viaggiato di più. Da lunedì gira la cifra di circa 45.000 falle e la previsione che l'anno raddoppierà quello precedente. La prima metà è giusta. La seconda no.

209 giorni del 2026 hanno prodotto 45.601 vulnerabilità pubblicate. Mantenendo lo stesso ritmo fino al 31 dicembre si arriva vicino a 79.600. Tutto il 2025 si è fermato a 49.972. È un multiplo di circa 1,6, non di 2.

La distinzione non è pignoleria, perché il numero più basso resta straordinario. Un aumento del 60 per cento in un solo anno è il più ripido che la serie storica contenga, e il 2026 ha già superato il 91 per cento di tutto ciò che il 2025 ha prodotto, con ancora cinque mesi davanti. Insistere sul dato esatto conta perché quello gonfiato invita alla reazione sbagliata. Raddoppiare suona come un'emergenza che giustifica il raddoppio di una squadra. 1,6 volte suona per quello che è: uno spostamento strutturale dell'offerta che nessuna assunzione riuscirà ad assorbire.

La curva dello sfruttamento non ha seguito

Ecco il numero che dovrebbe guidare la decisione. Delle 45.601 vulnerabilità pubblicate quest'anno, 171 sono state aggiunte al catalogo dello sfruttamento confermato. Solo cento voci dell'intero catalogo portano un identificativo del 2026.

Fate lo stesso calcolo sul lato dello sfruttamento. 171 aggiunte in 209 giorni danno un ritmo di circa 299 per l'anno. Nel 2025 intero la CISA ne aggiunse 245. Quindi, mentre la pubblicazione saliva del 63 per cento, lo sfruttamento confermato è salito di circa un quinto.

Le due curve si sono separate e la distanza si allarga ogni mese. Qualunque cosa alimenti l'ondata di pubblicazioni, e i fornitori ammettono con una certa franchezza che la scoperta automatizzata ne è una parte grande, sta producendo risultati più in fretta di quanto chiunque riesca a trasformarli in attacchi. Il numero pubblicato ha smesso di essere una misura del lavoro che avete davanti. Oggi misura quanta ricerca il settore riesce a sostenere, che è un'altra domanda con un'altra risposta.

Una precisazione onesta, perché rende l'indicazione più precisa invece di indebolirla. L'assenza dal catalogo non prova che nessuno stia sfruttando qualcosa. L'elenco registra ciò che un'agenzia riesce a confermare, e la conferma arriva in ritardo. È un argomento per trattare la prova dello sfruttamento come il segnale più solido disponibile, non per leggere la sua assenza come un'assoluzione.

Che cosa vi chiede davvero la norma

Quasi tutte le politiche sulle vulnerabilità scritte in Europa negli ultimi tre anni contengono una frase di questa forma: tutto ciò che raggiunge 7,0 viene corretto entro trenta giorni. Chi ha scritto quella frase nel 2023 ha accettato un carico di lavoro che da allora è cresciuto di due terzi senza chiedergli il permesso.

Vale la pena verificare da dove arrivi quella frase, perché non l'ha messa il regolatore. La NIS2 colloca il trattamento e la divulgazione delle vulnerabilità tra le misure di gestione del rischio che un soggetto rientrante deve adottare, e lega l'intero obbligo alla proporzionalità rispetto al rischio effettivo. Non nomina alcun sistema di punteggio e non fissa alcuna soglia. DORA fa lo stesso per i soggetti finanziari: priorità di correzione in base alla criticità di ciò che è colpito, senza alcuna cifra fissa scritta nel testo.

La soglia era dunque un'invenzione interna, adottata perché verificabile. Verificabile resta. Semplicemente non è più sostenibile, e nessuno dei due strumenti l'ha mai chiesta.

Riscrivete la regola, non l'organico

Il cambiamento pratico è piccolo e sta dentro questo trimestre. Mettete lo sfruttamento confermato in testa alla coda, con un orologio misurato in giorni. Tutto il resto conserva un ordinamento per gravità ma perde la scadenza automatica e viene gestito nel normale ritmo di manutenzione, sui sistemi che per voi contano davvero.

Due mosse di supporto rendono la scelta difendibile davanti a un revisore. Mettete per iscritto quale fonte esterna considerate autorevole e perché, così la priorità diventa un metodo documentato e non un giudizio personale. E registrate la decisione sull'esposizione dei sistemi che rinviate, perché dopo un incidente un'autorità chiede se esisteva un processo motivato, non se avete rispettato una cifra.

A soffrire nei prossimi diciotto mesi saranno le squadre la cui politica è aritmeticamente impossibile e i cui revisori non se ne sono ancora accorti. Il conteggio continuerà a salire. L'insieme di ciò che viene davvero usato contro di voi non sale allo stesso ritmo, nemmeno lontanamente, e viene pubblicato ogni settimana gratis.

Da leggere ora: La vostra sandbox colpita un mese prima dell'avviso  |  Un solo messaggio ha raggiunto le chiavi SSH