I principali risultati del DBIR di Verizon 2026: correzione delle vulnerabilità più lenta e sfruttamento più rapido

Il report DBIR (Verizon Data Breach Investigations) 2026 rivela una tendenza preoccupante: lo sfruttamento delle vulnerabilità è aumentato fino a diventare il principale vettore di accesso iniziale, mentre i tassi di correzione sono peggiorati.

Punti principali

1. Lo sfruttamento delle vulnerabilità è diventato il principale vettore di accesso iniziale per le violazioni, che rappresenta il 31% delle violazioni dei dati durante il periodo in cui è stato condotto lo studio.
2. L'impegno dei team di sicurezza in materia di patch è ancora più indietro: il tempo medio per l'applicazione di patch è aumentato di 11 giorni nell'ultimo anno.
3. Poiché gli strumenti basati sull'IA aumentano la velocità e il volume del rilevamento e dello sfruttamento delle vulnerabilità, la gestione dell'esposizione aiuta le organizzazioni a tenere il passo valutando continuamente le superfici di attacco, definendo la priorità dei rischi e orchestrando la correzione automatica delle debolezze della sicurezza.

Cos'è il report DBIR di Verizon

Sin dalla sua prima pubblicazione nel 2008, il DBIR (Data Breach Investigations Report) annuale di Verizon ha aiutato le organizzazioni a comprendere l'evolversi delle minacce informatiche. Per l'edizione 2026, Tenable Research ha contribuito ancora una volta ad arricchire i dati sullo sfruttamento delle vulnerabilità e le tendenze di correzione. I risultati di quest'anno dipingono un quadro desolante: Rispetto all'anno scorso, le organizzazioni si trovano ad affrontare un aumento significativo del volume di vulnerabilità a cui è necessario "applicare patch" secondo il catalogo delle vulnerabilità sfruttate note (KEV) della CISA (Cybersecurity and Infrastructure Security Agency).

La crescente lacuna tra la divulgazione e la correzione delle vulnerabilità rappresenta una delle sfide più urgenti della sicurezza informatica odierna. I team di sicurezza sono già sovraccarichi, sia per il numero crescente di vulnerabilità che per la mancanza di tempo per la gestione delle patch. Questa realtà sottolinea la necessità cruciale di una gestione dell'esposizione completa, un approccio strategico e guidato dall'IA alla sicurezza preventiva, progettato per aiutare le organizzazioni a ridurre il rischio informatico valutando continuamente le superfici di attacco, assegnando la priorità ai rischi e orchestrando la correzione automatica dei punti deboli della sicurezza.

Panoramica e analisi del DBIR di Verizon 2026

Il DBIR di Verizon 2026 ha rilevato che lo sfruttamento delle vulnerabilità è il principale vettore di accesso iniziale, che rappresenta il 31% delle violazioni dei dati durante il periodo dello studio. Ancor più preoccupante è il fatto che il tempo medio per l'applicazione di una patch è passato da 32 a 43 giorni, con un aumento del 34%. I risultati di quest'anno dipingono un quadro desolante: Il numero di vulnerabilità continua a crescere a dismisura, mentre i livelli di applicazione delle patch delle organizzazioni continuano a rimanere indietro.

L'incremento esponenziale di CVE continua, l'IA lo accelererà

Il panorama della vulnerabilità continua a registrare una crescita esponenziale, poiché il programma di CVE attualmente riporta più di 351.000 CVE registrati con più di 21.500 già registrati nel 2026. Poiché stiamo per raggiungere un altro numero record di CVE, questa marea di vulnerabilità crea una situazione estremamente difficile per i team di sicurezza, che sono già esausti. Con l'aumento del tempo medio per l'applicazione delle patch e la riduzione dei tempi di sfruttamento, gli autori di attacchi stanno vincendo la gara tra la divulgazione e la correzione.

La situazione potrebbe essere destinata a peggiorare drasticamente. La comunità della sicurezza informatica è sempre più preoccupata per gli strumenti di individuazione delle vulnerabilità basati sull’IA, come Mythos di Anthropic, che possono identificare automaticamente falle di sicurezza nei codici di base con una velocità e una portata senza precedenti. Sebbene questi strumenti offrano grandi potenzialità ai team di sicurezza, rappresentano anche un possibile punto di svolta: se l’IA riuscirà a individuare le vulnerabilità più velocemente di quanto le organizzazioni riescano a correggerle, l’enorme carico già esistente legato alle patch potrebbe diventare davvero ingestibile.

Questa accelerazione guidata dall'IA arriva nel peggior momento possibile. Le organizzazioni stanno già facendo fatica a correggere le vulnerabilità e il report di Verizon delle indagini sulle violazioni dei dati mostra come solo il 26% delle vulnerabilità KEV riesca ad essere effettivamente corretto. A questa preoccupazione si aggiunge anche il fatto che il DBIR evidenzia un aumento di quasi il 50% delle vulnerabilità CISA KEV da correggere nel 2025, esercitando una pressione ancora maggiore sui team di sicurezza.

Se i modelli di IA iniziano a inondare il database CVE di vulnerabilità appena scoperte o, peggio, se gli autori di attacchi usano questi modelli per trovare e sfruttare le vulnerabilità zero-day prima che venga messa in atto una difesa, è probabile che l'attuale crisi della correzione si trasformi in un fallimento sistemico del tradizionale modello di difesa basato sulle patch.

L'imperativo della gestione dell'esposizione

Nonostante lo sfruttamento delle vulnerabilità sia spesso definito come il principale vettore di accesso iniziale, esso rappresenta solo una parte del problema dell'esposizione. Il DBIR evidenzia in particolare l’abuso delle credenziali come un altro vettore di minaccia significativo, sottolineando che le vulnerabilità non vanno considerate isolatamente. Le credenziali rubate possono trasformare una vulnerabilità di moderata gravità in un percorso di violazione critico, mentre le configurazioni esposte possono fornire agli aggressori l'accesso necessario per sfruttare sistemi privi di patch.

La natura interconnessa delle esposizioni evidenzia il motivo per cui un numero sempre maggiore di organizzazioni sta adottando una gestione dell'esposizione completa. Comprendere e affrontare l'intera superficie di attacco, tra cui i rischi legati all'identità, le configurazioni errate, le autorizzazioni eccessive e gli asset vulnerabili, è essenziale per ridurre il rischio di violazioni nel panorama odierno delle minacce.

L'emergere del rilevamento delle vulnerabilità basato sull'IA rende la gestione dell'esposizione assolutamente essenziale. Poiché gli strumenti di IA accelerano l'identificazione delle vulnerabilità, le organizzazioni non possono limitarsi a cercare di applicare patch alle vulnerabilità più rapidamente. Devono invece concentrarsi sulla comprensione e sulla correzione delle vulnerabilità più importanti nel contesto dell'ambiente specifico. Una vulnerabilità appena rilevata su un sistema isolato, senza credenziali esposte e con rigidi controlli di accesso, rappresenta un rischio di gran lunga inferiore rispetto a CVE più datati su un asset connesso a internet con un'autenticazione debole. Tenable One Exposure Management Platform fornisce sia il framework contestuale necessario per prendere queste decisioni critiche sulla prioritizzazione, sia il motore di orchestrazione agentico necessario per accelerare la correzione in un'era di rilevamento delle vulnerabilità accelerato dall'IA.

Informazioni sui dati rilevanti del periodo di riferimento del DBIR

Man mano che Tenable Research esaminava le tendenze nei dati, il nostro team ha deciso di suddividere i CVE in categorie di prodotti e di confrontare quali categorie registravano la più alta percentuale di asset non corretti. Per la nostra analisi, ci siamo concentrati sulle CVE KEV, in quanto si tratta di vulnerabilità note per essere state sfruttate e nel mirino degli autori di attacchi.

Come si può vedere nella figura sottostante, le vulnerabilità che interessano gli strumenti di sviluppo hanno registrato il tasso più elevato di risorse non corrette, seguite da difetti di virtualizzazione/hypervisor e falle nel monitoraggio e gestione da remoto (RMM). Sebbene il processo di correzione di queste categorie di prodotti possa variare, la tendenza generale di quasi tutte le categorie di prodotti con un tasso di mancata correzione superiore al 50% dimostra che le organizzazioni riscontrano ancore difficoltà nella correzione delle vulnerabilità.

Allo stesso modo, abbiamo esaminato il numero medio di giorni in cui le risorse sono rimaste senza correzione, confrontandolo con il numero di CVE che hanno interessato quella categoria durante il periodo di riferimento del DBIR.

L'analisi dei dati di Tenable rafforza l'amara realtà evidenziata nel DBIR di Verizon: le organizzazioni impiegano più tempo per applicare le patch alle vulnerabilità note e sfruttate, mentre il numero di vulnerabilità che richiedono un'attenzione immediata è in rapido aumento.

Risultati del DBIR

I risultati del DBIR 2026 sono preoccupanti ma non inaspettati per chi opera in prima linea nella sicurezza informatica. I dati confermano ciò che molti team di sicurezza vivono quotidianamente: il carico di patch cresce più rapidamente della capacità di risposta delle organizzazioni. Con lo sfruttamento delle vulnerabilità come primo vettore di attacco e il tempo medio di applicazione delle patch che continua a salire, il divario tra la velocità degli autori di attacchi e la risposta dei difensori continua ad aumentare.

Le organizzazioni devono adottare un approccio incentrato sull'esposizione che consideri non solo la presenza di vulnerabilità, ma l'intero contesto di rischio dell'ambiente:

• Quali sono gli asset esposti?
• Chi ha accesso?
• Quali credenziali sono state compromesse?
• Quali combinazioni di esposizione creano i percorsi di attacco più pericolosi?

In un'epoca in cui l'IA rileva le vulnerabilità più velocemente di quanto gli esseri umani riescano ad applicarvi le patch, capire quali esposizioni sono veramente importanti rappresenta l'unico percorso sostenibile per il futuro.

Il DBIR 2026, arricchito dai dati di Tenable Research, offre preziose informazioni sul panorama delle minacce odierne. Tenable invita i professionisti della sicurezza a leggere l'intero report DBIR di Verizon per comprendere le tendenze attuali degli attacchi e utilizzare i risultati per prendere decisioni informate sulle strategie di gestione dell'esposizione. La crisi documentata in questo report segnala che il modello tradizionale incentrato sulle vulnerabilità necessita di un'evoluzione fondamentale verso una gestione dell'esposizione completa e guidata dall'IA.

Identificazione dei sistemi interessati

Tenable fornisce una copertura di rilevamento completa per il catalogo KEV di CISA, con capacità di rilevamento implementata rapidamente in seguito alla divulgazione della vulnerabilità. Questa copertura si estende a diverse categorie di asset, consentendo una visibilità completa delle vulnerabilità attivamente sfruttate negli ambienti. I CVE presenti nel catalogo KEV avranno un tag sulle pagine CVE singole e puoi sfogliare i plug-in presto disponibili sulla nostra pagina Plugins Pipeline.

Ottieni maggiori informazioni

• DBIR (Data Breach Investigations Report) di Verizon

Unisciti al team RSO (Research Special Operations) di Tenable in Tenable Connect per ulteriori discussioni sulle minacce informatiche più recenti.

Scopri di più su Tenable One, la piattaforma di gestione dell'esposizione per la superficie di attacco moderna.