Ogni mese escono centinaia di aggiornamenti di sicurezza, e ogni mese qualcuno resta indietro. Non è negligenza: è fisiologia. Tra le scadenze, i sistemi diversi, i fornitori che non collaborano e la paura di rompere qualcosa, la gestione degli aggiornamenti è il lavoro più rimandato dell'IT. Il problema è che quel rinvio ha smesso di essere innocuo. Nel 2026 lo sfruttamento delle vulnerabilità è diventato il vettore d'accesso numero uno: la porta che gli attaccanti preferiscono, e spesso l'unica che serve loro. Il quadro completo dei numeri è nel nostro articolo sulle statistiche degli attacchi informatici.

Un cambio di gerarchia

Per anni le statistiche raccontavano un'altra storia: phishing, credenziali rubate, distrazione umana. Il DBIR 2026 di Verizon segna il sorpasso: lo sfruttamento di vulnerabilità è ora il primo modo per ottenere l'accesso ai sistemi, con circa il 31% delle violazioni analizzate che parte da lì. Nella stessa direzione va M-Trends 2026 di Mandiant: per il sesto anno consecutivo lo sfruttamento è il primo vettore d'ingresso, con il 32% delle intrusioni. Sophos conferma da un'angolazione diversa: le vulnerabilità sfruttate sono la causa principale degli attacchi ransomware, con il 32% dei casi, davanti a credenziali compromesse (23%) e phishing (18%). Il quadro che ne esce è scomodo: le difese "umane" hanno fatto progressi, mentre la manutenzione dei sistemi è rimasta indietro. E gli attaccanti, che seguono la strada più facile, si sono spostati lì. Il sorpasso non è un dettaglio statistico: cambia le priorità. Per anni la difesa si è concentrata sulle persone, ed è giusto; ora la manutenzione dei sistemi è tornata centrale.

Quanto si è accorciata la corsa

Il tempo è la variabile che fa la differenza, e la corsa si chiude sempre prima. Secondo VulnCheck, la mediana del tempo che una vulnerabilità impiega a finire nel catalogo KEV di CISA (quello delle vulnerabilità sfruttate attivamente) è scesa da 120 giorni nel 2025 a 80 giorni nel primo semestre del 2026. E una quota crescente di attacchi parte prima di qualunque bollettino: nel 2025 il 28,96% delle vulnerabilità sfruttate lo è stato il giorno stesso della pubblicazione o prima, in salita dal 23,6% dell'anno precedente. Il catalogo intanto cresce: alla versione dell'8 ottobre 2026 contiene 1.739 vulnerabilità, e da giugno le scadenze di correzione imposte da CISA alle agenzie federali si sono inasprite, con finestre di 3 giorni per le falle più esposte e automatizzabili. Un metro che anche un'azienda può adottare come bussola: non serve inseguire ogni vulnerabilità, serve partire da quelle sfruttate davvero.

Il caso Windows 10

Un esempio che vale più di dieci slide: il 14 ottobre 2025 Microsoft ha chiuso il supporto di Windows 10. Da quel giorno non arrivano più patch di sicurezza per quel sistema: i difetti già noti restano aperti, e i nuovi non verranno corretti. Un computer senza aggiornamenti è un bersaglio fermo, e in molte PMI convivono ancora postazioni con quel sistema, magari accanto a software gestionale che "finora ha sempre funzionato". La lezione vale in generale: quando un fornitore annuncia la fine del supporto, non è una notizia tecnica, è una scadenza di sicurezza. Va pianificata prima, non il giorno in cui il sistema smette di ricevere correzioni. Per chi non può migrare subito, Microsoft offre gli aggiornamenti estesi di sicurezza (ESU), a pagamento: fino a tre anni, con un prezzo per dispositivo che parte da 61 dollari il primo anno e raddoppia nei successivi. E il parco macchine va guardato per intero: i sistemi fuori supporto convivono spesso, nella stessa rete, con quelli aggiornati.

Come si costruisce un processo che regge

Nessuna PMI può inseguire ogni singola vulnerabilità: la chiave è la priorità, non l'inseguimento. E c'è un dato che vale da solo: oltre il 70% degli exploit del 2025 è iniziato dopo la pubblicazione della vulnerabilità, cioè su falle già note. La maggior parte delle volte la correzione esisteva già: mancava solo il processo per applicarla. Cinque pilastri, in ordine di utilità. È il modello che funziona anche senza un reparto IT strutturato.

  • Inventario: non si protegge quello che non si conosce. Software, sistemi operativi, firmware (i programmi interni di router, firewall, NAS), gestionali, ma anche i servizi cloud che espongono qualcosa su internet.
  • Priorità guidata dallo sfruttamento: prima le vulnerabilità che risultano già attaccate (il catalogo KEV di CISA è una lista pubblica e gratuita), poi quelle critiche per i tuoi sistemi, poi tutto il resto. Correlare con l'esposizione: una vulnerabilità in un sistema raggiungibile da internet batte qualunque punteggio astratto.
  • Cadenza: un ciclo regolare (mensile o trimestrale), più un percorso rapido per le emergenze vere. L'obiettivo non è la copertura totale in ogni momento, è la riduzione continua del ritardo.
  • Verifica: controllare che le patch siano davvero applicate, non solo distribuite. E non dimenticare la coda lunga: browser, plugin, firma email, VPN, videocamere.
  • Fornitori e apparati: router, firewall, NAS e centralini sono la coda che nessuno aggiorna, e spesso sono esposti su internet. Chiedete un piano di aggiornamento anche a chi ve li fornisce.

Quando la patch non basta

Aggiornare è necessario, non sufficiente. Se una vulnerabilità viene sfruttata prima che la correzione esista, l'unica difesa è limitare i danni: segmentare la rete, limitare i privilegi, proteggere gli accessi con l'autenticazione a più fattori, monitorare ciò che accade. E poi il piano B: quando un sistema viene compromesso nonostante tutto, la velocità di reazione e i backup organizzati bene fanno la differenza tra un episodio gestibile e un disastro. In quest'ordine: chiudere le porte possibili, accorgersi in fretta, recuperare rapidamente. Meno eroismi, più metodo: è l'approccio che portiamo nei servizi di cybersecurity.