Nei primi sei mesi del 2026 sono state registrate 37.032 nuove CVE, con un incremento del 54% secondo i dati richiamati dall’Agenzia per la Cybersicurezza Nazionale. Il numero conferma una pressione crescente su aziende, pubbliche amministrazioni e fornitori di servizi digitali: le vulnerabilità note aumentano più rapidamente della capacità di molte organizzazioni di analizzarle e correggerle.

Il dato non indica automaticamente un peggioramento della sicurezza globale. Può riflettere maggiore ricerca, processi di disclosure più strutturati e una superficie software più ampia. Tuttavia, per chi deve difendere infrastrutture reali, l’effetto operativo è chiaro: serve distinguere rapidamente tra vulnerabilità teoriche, bug rilevanti per il proprio perimetro e falle già sfruttate attivamente.

Dal conteggio alla priorità

La crescita delle CVE rende insufficiente un approccio basato solo su liste e scansioni periodiche. Le organizzazioni devono arricchire il dato con contesto: esposizione su Internet, criticità dell’asset, disponibilità di exploit, presenza di compensating control, valore dei dati trattati e impatto operativo di una patch.

In assenza di prioritizzazione, i team rischiano di inseguire tutto senza correggere in tempo ciò che conta davvero. Framework come EPSS, cataloghi di vulnerabilità sfruttate e threat intelligence possono aiutare a ordinare le attività, ma devono essere integrati in processi di patch management e asset inventory affidabili.

Impatto per imprese e PA

Per la pubblica amministrazione e per gli operatori essenziali, il volume delle CVE si somma agli obblighi regolatori e alla necessità di garantire continuità dei servizi. Sistemi legacy, applicazioni verticali e dipendenze di terze parti rendono spesso complesso applicare aggiornamenti in tempi rapidi.

La gestione delle vulnerabilità diventa quindi una funzione trasversale: coinvolge sicurezza, IT operations, procurement, responsabili applicativi e fornitori. Senza un inventario aggiornato degli asset e delle dipendenze, anche la migliore lista di CVE resta difficile da trasformare in azioni concrete.

Le misure da rafforzare

Le priorità operative includono inventario continuo degli asset, scansioni regolari, monitoraggio delle vulnerabilità sfruttate, patching basato sul rischio e verifica delle correzioni. È utile anche definire tempi massimi di remediation differenziati per criticità e esposizione, così da evitare decisioni caso per caso.

Il dato ACN mostra che la vulnerabilità management non può essere trattata come attività episodica. È un processo industriale, con metriche, responsabilità e verifiche. Solo così l’aumento delle CVE può essere gestito senza trasformarsi in un accumulo ingestibile di rischio tecnico.