Minacce informatiche 2026 in numeri: una nuova vulnerabilità ogni 6 minuti, l’exploit prima che esca la patch

Nel 2018, dalla divulgazione pubblica di una vulnerabilità al primo attacco passavano in media 63 giorni. Oggi questo numero è meno sette. No, non è un refuso — in media gli attaccanti iniziano a sfruttare una falla una settimana prima che il produttore rilasci la patch. E nel frattempo il mondo aggiunge al catalogo pubblico una nuova vulnerabilità in media ogni 6 minuti. 💥

Nel mio lavoro do spesso un’occhiata ai report di threat intelligence — un po’ perché fa parte dei miei compiti, un po’ per curiosità professionale. E da tempo avevo l’impressione che i numeri che ne emergono non si componessero, nella testa delle persone, in un quadro unico. Perché ognuno circola per conto suo: qui qualcuno posta un grafico delle CVE, là qualcun altro la percentuale di phishing fatto con l’AI. Così ho deciso di raccogliere in un unico posto i dati che meglio mostrano quanto sia cambiato il campo di gioco — quante vulnerabilità scopriamo, quanto in fretta diventano un’arma, quante falle patchano i big, quanti nuovi bug produciamo noi stessi e cosa aggiunge a tutto questo l’AI.

Affronto il tema con ordine accademico: ogni numero qui ha la sua fonte e il suo anno. E alla fine — sei conclusioni che da questi dati derivano direttamente per la tua azienda.

Indice dei contenuti

1. Quante vulnerabilità scopriamo — e perché il record cade ogni anno
2. Il tempo dalla vulnerabilità all’attacco: da 63 giorni a meno sette
3. Gli attacchi tramite falle nel software crescono a valanga: dal 14% al 31% delle violazioni in due anni
4. Quante falle patchano i giganti — Microsoft, Google e compagnia
5. Da dove vengono tutti questi bug? L’AI scrive codice più in fretta di quanto riusciamo a metterlo in sicurezza
6. Nuove minacce AI: phishing, deepfake e intrusioni col pilota automatico
7. La Polonia in numeri: oltre 700 incidenti al giorno
8. Cosa farne — 6 cose che derivano direttamente dai dati
9. FAQ

Quante vulnerabilità scopriamo — e perché il record cade ogni anno

Breve spiegazione per i non tecnici: CVE è il catalogo pubblico mondiale delle vulnerabilità — ogni falla divulgata in un software riceve il suo numero (es. CVE-2026-12345), così che tutti parlino dello stesso bug con lo stesso linguaggio.

E questo catalogo cresce a un ritmo che ancora cinque anni fa avrei considerato assurdo:

• 2022: 25.084 nuove vulnerabilità
• 2023: 29.066 (+16%)
• 2024: 40.313 (+39%)
• 2025: 48.449 (+20%)
• 2026, dati al 19 agosto: già 53.803 — più che nell’intero 2025 da record, a quattro mesi e mezzo dalla fine dell’anno. È proprio questa la famosa nuova vulnerabilità ogni 6 minuti.

(Numeri da cvedetails.com, secondo le date di pubblicazione nel database NVD, aggiornati al 19.08.2026. Altre metodologie — ad esempio l’annuale “CVE Data Review” di Jerry Gamblin — danno valori che differiscono di meno dell’1%; la direzione è ovunque la stessa.)

FIRST — l’organizzazione che, tra le altre cose, sviluppa il sistema di valutazione del rischio delle vulnerabilità — prevedeva per il 2026 59.400 nuove CVE, salvo poi alzare a giugno la previsione a ~66.000. Tra i motivi cita esplicitamente la scoperta di vulnerabilità assistita dall’AI. Un minimo di onestà da cronista, perché i numeri non facciano a pugni: la previsione è nata a giugno, ancora prima dell’accelerazione estiva, e il contatore di 53.800 è lo stato al 19 agosto — non la fine dell’anno. Al ritmo attuale (oltre 230 nuove CVE al giorno) il 2026 si chiuderebbe più vicino a 85.000. Le previsioni, semplicemente, non stanno dietro alla realtà. A questo si aggiunge una curiosità del genere “per un pelo”: nell’aprile 2025 il programma CVE ha rischiato di fermarsi per l’esaurirsi dei finanziamenti a MITRE — il contratto è stato prorogato letteralmente la notte prima della scadenza. L’Europa ne ha tratto la lezione e l’ENISA ha lanciato il proprio database EUVD, che opera sotto l’ombrello della NIS2.

Ora la cosa più importante, per non farsi prendere dal panico: di questa valanga viene sfruttata attivamente solo una frazione. Da uno studio del Cyentia Institute e di FIRST risulta che tracce di un qualsiasi utilizzo in attacchi le ha circa il 6% di tutte le CVE pubblicate. Delle 35.000 vulnerabilità della prima metà del 2026, nella lista di quelle attivamente sfruttate (il catalogo KEV della CISA americana — ci arrivo tra un attimo) ne sono finite… 85, cioè lo 0,24%.

Lezione n. 1: Nessuno — né tu, né una multinazionale con mille sistemisti — riuscirà a patchare 48.000 falle all’anno. E non deve. Non vince chi patcha tutto, ma chi sa quali delle proprie falle sono davvero sotto attacco e chiude quelle per prime. Il problema è che per decidere c’è sempre meno tempo — ne parlo qui sotto.

Il tempo dalla vulnerabilità all’attacco: da 63 giorni a meno sette

Il time-to-exploit (TTE) è il tempo medio dalla divulgazione pubblica di una vulnerabilità al suo primo utilizzo in un attacco reale. Google Mandiant lo misura da anni e questa serie di dati è, per me, il grafico più importante dell’intero settore:

• 2018–2019: 63 giorni
• 2020–metà 2021: 44 giorni
• 2021–2022: 32 giorni
• 2023: 5 giorni
• 2024: −1 giorno
• 2025: circa −7 giorni (stima dal report M-Trends 2026)

Come può un tempo essere negativo? È semplice e inquietante allo stesso tempo: una quota sempre maggiore delle vulnerabilità sfruttate è costituita da zero-day — falle che l’attaccante trova e sfrutta prima ancora che il produttore ne sappia qualcosa, quindi prima che esista una qualsiasi patch. Il Google Threat Intelligence Group ha contato nel 2025 90 zero-day sfruttati in attacchi (78 l’anno precedente), con una quota record del 48% di prodotti enterprise — inclusi, ironia della sorte, i sistemi di sicurezza: VPN, firewall e altri dispositivi perimetrali.

Lo zero-day, peraltro, non è l’unico motivo. C’è anche il patch gapping: nei progetti open source la correzione a volte è visibile nel repository pubblico del codice qualche giorno prima del rilascio ufficiale — gli attaccanti confrontano le modifiche, ne ricostruiscono il bug e scrivono l’exploit prima che gli utenti ricevano l’aggiornamento (un classico con il motore V8 di Chrome). A questo si aggiunge il processo stesso di divulgazione coordinata: prima che la patch esca, della falla sanno già il ricercatore che l’ha segnalata, il team del produttore, a volte i partner avvisati in anteprima — e ognuno di questi anelli, in qualche caso, è stato fonte di fughe di notizie. E non di rado il produttore viene a sapere della vulnerabilità proprio perché qualcuno ha rilevato un attacco in corso — la patch e il numero CVE nascono solo allora, quindi la data del primo sfruttamento cade per definizione prima del “giorno zero”.

E quando la patch c’è? Nemmeno allora c’è pace:

• Secondo VulnCheck, il 29% delle vulnerabilità con sfruttamento confermato nel 2025 è stato attaccato il giorno stesso della pubblicazione della CVE o prima.
• Palo Alto Unit 42 osserva scansioni di internet alla ricerca di sistemi vulnerabili entro un quarto d’ora dall’annuncio di una CVE.
• Il mio esempio preferito su scala “umana”: Cloudflare ha registrato tentativi di attacco a una falla fresca in JetBrains TeamCity 22 minuti dopo la pubblicazione del codice proof-of-concept. In 22 minuti non fai in tempo a fare una riunione di stato avanzamento, figuriamoci a installare una patch.
• Per i dispositivi perimetrali (VPN, firewall — tutto ciò che “sporge” verso internet) il Verizon DBIR indica una mediana del tempo fino allo sfruttamento di massa di 0 giorni.

Dall’altra parte della barricata il ritmo è questo: la mediana del tempo per patchare completamente una vulnerabilità della lista di quelle attivamente sfruttate è, nelle aziende, di 43 giorni (DBIR 2026) — e solo il 26% di queste vulnerabilità viene davvero patchato del tutto. Il risultato? Nel report DBIR di quest’anno lo sfruttamento delle vulnerabilità è diventato, per la prima volta nella storia diciannovennale dello studio, il vettore numero 1 di accesso iniziale alle aziende (31% delle violazioni), detronizzando le password rubate.

E ancora un ritmo, questa volta a violazione già avvenuta: CrowdStrike ha misurato il breakout time medio — il tempo in cui l’attaccante, dalla prima macchina compromessa, “si propaga” nella rete — in 29 minuti nel 2025. Il record: 27 secondi.

Vuoi osservarlo in diretta? Dai un’occhiata a zerodayclock.com — una dashboard che aggrega dati su oltre 3.500 vulnerabilità realmente sfruttate (CISA KEV + VulnCheck). È una misurazione indipendente da Mandiant, su un campione e con una metodologia diversi — e mostra esattamente la stessa direzione: per le vulnerabilità del 2018 il tempo medio fino all’attacco lì era di 2,3 anni, per quelle del 2026 è già di meno 23 ore (dati al 19.08.2026). La mediana ha sfondato le soglie della settimana e del giorno singolo, e la soglia dell’ora dovrebbe cadere intorno al 2027. L’orologio ticchetta sempre più veloce — letteralmente.

Lezione n. 2: La “finestra per patchare” come concetto ha smesso di esistere. In media l’attacco inizia prima della patch, e le aziende patchano in settimane ciò che viene attaccato in minuti. Per questo, accanto al piano di patching, devi avere un piano per la situazione in cui la patch ancora non c’è: riduzione dell’esposizione, segmentazione e rilevamento. E visto che il breakout dura mezz’ora — se non vedi l’intruso in mezz’ora, lo vedrai solo in fattura.

Gli attacchi tramite falle nel software crescono a valanga: dal 14% al 31% delle violazioni in due anni

Se le vulnerabilità aumentano a livelli record e il tempo fino all’exploit è diventato negativo, la cosa dovrebbe vedersi nelle statistiche delle violazioni reali. E si vede — ogni grande dataset sugli incidenti mostra la stessa direzione: lo sfruttamento delle falle nel software è oggi la porta d’ingresso alle aziende in più rapida crescita:

• Verizon DBIR (ca. 22.000 violazioni confermate): la quota dello sfruttamento di vulnerabilità è schizzata dal 14% (edizione 2024), passando per il 20% (2025), fino al 31% (2026) — più che raddoppiata in due anni e vettore numero 1 per la prima volta nella storia diciannovennale del report, davanti a password rubate e phishing.
• IBM X-Force 2026: lo sfruttamento di applicazioni esposte a internet è già il 40% degli incidenti gestiti — la causa più frequente, +44% anno su anno.
• Google Mandiant: gli exploit sono il vettore di intrusione più frequente per il sesto anno di fila (32% dei casi gestiti dai loro team di incident response).
• Coalition (assicuratore cyber): il 58% dei sinistri ransomware inizia con la compromissione di un dispositivo perimetrale (VPN, firewall). Il dato collima con il DBIR, dove gli attacchi ai dispositivi perimetrali sono cresciuti di otto volte anno su anno.
• CrowdStrike: l’88% dello sfruttamento osservato di vulnerabilità con codice PoC pubblico è avvenuto entro 48 ore dalla sua pubblicazione, e il numero di zero-day sfruttati prima della divulgazione è cresciuto del 42% a/a.

Il carburante di questa valanga è tutto ciò di cui leggi in questo post: l’offerta record di vulnerabilità, il time-to-exploit negativo, l’AI che assembla exploit in minuti — e l’hardware perimetrale, che per sua natura sta esposto a internet — spesso senza MFA e senza EDR, cioè il software che rileva gli intrusi e che su una “scatola” chiusa del genere semplicemente non si può installare — in compenso con permessi sull’intera rete.

Per completezza, perché l’onestà è d’obbligo: non è che l’ingegneria sociale sia diminuita. Il phishing tiene un livello costante (~16% nel DBIR, 22% per Unit 42) e cambia formato — verso il vishing (+134% a/a secondo CrowdStrike), le false pagine CAPTCHA (+563%) o la telefonata all’helpdesk — e nei dati del settore PMI (Sophos) la radice del 67% degli incidenti è ancora l’identità, perché lì l’attaccante non usa exploit: semplicemente fa il login. Il punto è che gli exploit hanno raggiunto l’ingegneria sociale e crescono più in fretta di tutti gli altri vettori — un’azienda oggi deve difendere entrambi i fronti contemporaneamente.

Lezione n. 3: La dinamica maggiore è sul lato exploit. Se hai hardware perimetrale e applicazioni pubbliche, il ritmo di patching e i test sono la tua priorità numero uno — esattamente per i motivi descritti nella lezione n. 2. Ma non finanziarli con il budget per MFA e procedure: l’ingegneria sociale non ha mollato, ha solo cambiato canale. L’attaccante sceglierà sempre il più economico dei tuoi due fronti.

Quante falle patchano i giganti — Microsoft, Google e compagnia

Mi piace questa prospettiva, perché funziona meglio di tutto sulle persone che ancora credono che “il software fatto per bene non ha bug”. Allora guardiamo le aziende più ricche del mondo, con i migliori team di sicurezza che i soldi possano comprare:

• Microsoft, nell’ambito dei Patch Tuesday mensili, ha corretto 1.020 vulnerabilità nel 2024 e 1.139 nel 2025 (contando secondo la Zero Day Initiative), inclusi 41 zero-day. E il 2026 batte nuovi record: 570 correzioni nel solo luglio e circa 400 in agosto. Curioso: Microsoft stessa ammette che parte di questa valanga è merito del suo sistema interno di ricerca di vulnerabilità basato sull’AI — le macchine trovano i bug più in fretta degli umani.
• Google Chrome — il browser in cui stai leggendo questo post — ha ricevuto nel 2025 correzioni per ~250 vulnerabilità, inclusi 8 zero-day attivamente sfruttati in attacchi. Nel 2026 anche Google ha messo l’AI a caccia: tre release consecutive di Chrome hanno patchato in totale 1.442 bug di sicurezza, e un agente basato su Gemini ha trovato, tra le altre cose, una falla nella sandbox che stava nel codice da 13 anni. Google descrive inoltre un sistema di agenti con un agente-critico dedicato, che scarta i falsi allarmi prima che la scoperta arrivi agli umani.
• Mozilla (Firefox) — nelle sole release di aprile ha corretto 423 bug di sicurezza, contro i tipici 20–30 al mese di tutto il 2025. 271 di questi sono stati trovati con l’aiuto di Claude Mythos Preview (nome preso pari pari dal post tecnico di Mozilla). Il commento onesto del CTO di Firefox: l’AI non ha trovato nulla che non avrebbe trovato un ricercatore umano d’élite — ma l’ha trovato all’ingrosso, non al ritmo di una falla a settimana.
• Kernel Linux — il team del kernel ha pubblicato 432 CVE in circa 30 ore (19–20 luglio 2026). Per correttezza: il kernel assegna le CVE con grande generosità (ogni correzione che può avere implicazioni di sicurezza), quindi non si tratta di 432 falle critiche — ma la portata del flusso fa impressione comunque.
• Oracle — il pacchetto cumulativo di correzioni di luglio (Critical Patch Update) conta quasi 1.450 patch di sicurezza che coprono 1.235 CVE uniche. I trimestri precedenti: da 309 a 481. Un salto di oltre quattro volte in tre mesi — Oracle non spiega da dove venga, ma lo schema è identico a quello degli altri.
• Apple — non fa eccezione: il solo piccolo aggiornamento “puntuale” iOS 26.6.1 del 17 agosto 2026 corregge 42 vulnerabilità (la maggior parte in WebKit, il motore di Safari). Ecco come appare oggi l’aggiornamento di routine di un telefono che “non serve aggiornare, tanto funziona”.
• CISA KEV — il catalogo, gestito dall’agenzia americana CISA, delle vulnerabilità per cui c’è la certezza che vengano sfruttate in attacchi reali (da qui il nome: Known Exploited Vulnerabilities) — conta oggi 1.674 voci, di cui 245 aggiunte nel 2025. È proprio questa la lista corta da cui il patching dovrebbe partire.

A questi casi singoli si sovrappone una misura aggregata. Epoch AI ha contato le CVE di gravità alta e critica pubblicate dalle 21 maggiori organizzazioni tecnologiche (da Microsoft al progetto Apache): a luglio 2026 erano circa 2.500 — più o meno cinque volte il record mensile precedente all’annuncio di aprile di Claude Mythos Preview (ca. 490). Il grafico è uguale per tutti: piatto per anni, e poi un muro.

E qui una precisazione importante, per onestà: queste falle non le ha scritte l’AI. Le hanno scritte gli umani — nel corso di decenni. È il debito tecnico dell’intero settore, che l’AI, nelle mani di ricercatori capaci, sta ora iniziando a ripagare all’ingrosso. Un’ottima notizia… con tre insidie, che vedo dalla trincea del difensore:

• Rischio di regressioni: come installi le patch per qualche centinaio di vulnerabilità in un solo prodotto senza rompere niente? Senza ambiente di test, ordine di rollout e piano di rollback — in nessun modo.
• Assuefazione: un’altra settimana, altre centinaia di correzioni. La fatica da alert è un meccanismo reale — e basta perdersi proprio quell’unica finita nella lista KEV.
• Asimmetria crescente: all’attaccante basta una falla, il difensore deve gestirle tutte. L’AI ha aumentato l’offerta di falle e il ritmo da entrambe le parti — solo che l’attaccante può scegliersi la sua.

Lezione n. 4: Se Microsoft, Google e Apple — con budget illimitati — patchano in casa propria oltre mille falle all’anno, indovina se l’applicazione che un fornitore ha scritto per la tua azienda in sei mesi è sicura. I bug nel software non sono una vergogna, sono matematica e statistica. La vergogna comincia quando da te nessuno cerca attivamente quei bug — perché allora il primo “tester” diventa il criminale. E la nuova, seconda metà di questa lezione per il 2026: se le correzioni arrivano a centinaia, la sicurezza la decide anche il processo di aggiornamento — test, ordine, rollback. L’AI non è una macchinetta sputa-CVE; potenzia soprattutto chi sa cosa cercare. Fai in modo che dalla tua parte ci siano persone così.

Da dove vengono tutti questi bug? L’AI scrive codice più in fretta di quanto riusciamo a metterlo in sicurezza

Se i record cadono sul lato della scoperta di vulnerabilità, è onesto chiedersi: e quanti nuovi bug introduciamo? Qui il 2025 ha portato due studi che dovrebbero stare appesi sopra la scrivania di ogni CTO:

Veracode ha messo alla prova oltre 100 modelli AI su 80 task di programmazione con trappole di sicurezza note. Risultato: il 45% dei task si conclude con codice contenente una vulnerabilità della lista OWASP Top 10 (una specie di “hit parade” di settore dei bug più frequenti nelle applicazioni). In Java la percentuale supera il 70%. E la cosa più interessante: i modelli successivi, sempre più nuovi, scrivono codice sintatticamente sempre più bello — ma per niente più sicuro.

Apiiro ha analizzato decine di migliaia di repository di codice in grandi aziende e ha calcolato che gli sviluppatori assistiti dall’AI consegnano 3–4 volte più codice — ma generano 10 volte più problemi di sicurezza. Il numero di percorsi di escalation dei privilegi (cioè di modi per passare da un account normale a admin) nel codice scritto con l’AI è cresciuto del 322%. L’AI elimina magnificamente refusi ed errori di sintassi — e in cambio produce in serie errori di architettura e di logica, cioè esattamente quelli che non si vedono a colpo d’occhio.

Chiudiamo il cerchio: FIRST, tra i motivi dell’innalzamento della previsione CVE per il 2026, indica… la scoperta di vulnerabilità assistita dall’AI (le sole segnalazioni nelle GitHub Security Advisories sono cresciute del 449% anno su anno). Quindi: l’AI scrive più codice vulnerabile, l’AI trova più vulnerabilità nel codice altrui, e noi — umani — stiamo nel mezzo con lo stesso budget di sempre per il patching. Un cucchiaino di miele: secondo VulnCheck, di oltre mille vulnerabilità attribuite a scoperte dell’AI, finora ne è stato realmente sfruttato in attacchi l’1,3%. Finora.

Lezione n. 5: L’AI nella programmazione è un escavatore: scava più in fretta sia le fondamenta, sia le buche. Se i tuoi team (o i tuoi fornitori) usano l’AI per scrivere codice — e la usano, anche se sostengono il contrario 😈 — allora la revisione di sicurezza e i test devono essere parte del processo di sviluppo, non un’azione una tantum dopo il rilascio.

Nuove minacce AI: phishing, deepfake e intrusioni col pilota automatico

Il volume degli attacchi cresce da anni: Check Point ha calcolato che nel 2025 un’organizzazione media respingeva 1.968 attacchi a settimana — il 70% in più di due anni prima, e a luglio 2026 il contatore è balzato a 2.336. Ma il numero in sé non è la novità che professionalmente mi incuriosisce (e mi spaventa) di più. La novità sono la qualità e l’automazione:

Il phishing ormai lo scrive l’AI, non il “principe nigeriano”. KnowBe4, nel report di quest’anno, stima che l’86% degli attacchi di phishing sia supportato dall’AI. Uno studio descritto sulla Harvard Business Review ha mostrato che a un phishing interamente generato dall’AI ha abboccato il 60% dei partecipanti — la stessa quota dei messaggi scritti da esperti umani di ingegneria sociale. L’era del “riconosci la truffa dagli errori di lingua” è finita definitivamente.

Il deepfake è entrato negli uffici. Entrust — sulla base dei dati dei propri sistemi di verifica dell’identità — stima nel report Identity Fraud 2025 che un tentativo di frode con deepfake avvenga in media ogni 5 minuti. Il simbolo resta il caso dello studio di ingegneria Arup di inizio 2024. E non è una leggenda metropolitana: l’incidente è stato confermato dalla polizia di Hong Kong, e la stessa azienda ha ammesso che sono stati usati voci e volti contraffatti. Un dipendente, dopo una videoconferenza con i deepfake del proprio CFO e dei colleghi, ha eseguito 15 bonifici per un totale di 25,6 milioni di dollari. Non ha cliccato su nessun link sospetto. Ha visto “con i propri occhi” i suoi superiori.

Le intrusioni passano al pilota automatico. Tre pietre miliari documentate dell’ultimo anno e passa:

• Il “vibe hacking”: Anthropic ha descritto un’operazione in cui un singolo criminale ha usato un agente AI per condurre furto di dati e ricatto ai danni di 17 organizzazioni in un mese — l’AI faceva ricognizione, raccoglieva credenziali, analizzava le finanze delle vittime e calcolava il riscatto “ottimale” (le richieste arrivavano a 500.000 dollari). Un gruppo APT composto da una persona sola.
• La prima campagna di spionaggio condotta principalmente dall’AI: a novembre 2025 Anthropic ha rivelato un’operazione legata a uno Stato in cui un agente AI ha svolto l’80–90% del lavoro negli attacchi a ~30 obiettivi, con l’umano a prendere decisioni in 4–6 punti dell’intera campagna.
• PromptLock — il primo ransomware noto azionato da un modello AI locale (rilevato da ESET; per fortuna si è rivelato un progetto di ricerca dell’università NYU — ma il concetto ormai è pubblico). In più i framework tipo HexStrike-AI, dopo il cui debutto i criminali si vantavano di aver ridotto il tempo di sfruttamento delle vulnerabilità fresche “da giorni a meno di 10 minuti”.

A completare il quadro, un classico in edizione nuova: il ransomware. Nel 2025 sui siti di leak sono stati pubblicati i dati di 7.458 aziende vittime (+30% anno su anno), e i nuovi gruppi criminali sono stati 73. L’automazione ha abbassato la barriera d’ingresso anche sul lato oscuro del mercato del lavoro.

Lezione n. 6: L’AI non ha inventato neanche un tipo di attacco nuovo. Ha fatto qualcosa di peggio: ha tolto agli attacchi costo e tempo, e ne ha alzato la qualità a un livello al quale il “dipendente vigile” smette di essere una contromisura. La vigilanza va sostituita da procedure che funzionano anche quando una persona crede ai propri occhi e alle proprie orecchie — ne parlo nella sezione “cosa fare”.

La Polonia in numeri: oltre 700 incidenti al giorno

Per chiudere con i dati, uno sguardo al mio mercato di casa, la Polonia — perché nessuno pensi che siano problemi solo della Silicon Valley:

• CERT Polska ha ricevuto nel 2025 658.320 segnalazioni e ha registrato 260.783 incidenti unici — una crescita del 152% anno su anno. Sono oltre 700 incidenti al giorno. A farla da padroni sono phishing e truffe (97% degli incidenti); i criminali si spacciavano più spesso per OLX (28.500 incidenti) e Allegro (22.500). Il ritmo nel 2026 non cala: nel solo luglio il CERT ha registrato 31.200 incidenti (+12% a/a), e la lista di avvisi sui domini pericolosi è cresciuta da gennaio di 158.000 voci.
• Secondo Check Point, un’organizzazione polacca media ha respinto nell’ultimo anno 1.854 attacchi a settimana (+15% a/a) — un filo sotto la media europea, ma la direzione è la stessa.
• KPMG, nel “Barometr cyberbezpieczeństwa 2026” (indagine su 100 aziende medie e grandi): il 96% delle aziende polacche ha registrato nel 2025 almeno un incidente di sicurezza. Record nei 9 anni di storia di questa ricerca.
• E la resilienza? Nel report “Cyberbezpieczeństwo — Trendy 2026” (Xopero) solo il 29% delle aziende dichiara una cyber-resilienza alta o molto alta, e il 64% non ha un’assicurazione cyber.

Lezione n. 7: L’accostamento di questi due numeri dice tutto: un incidente l’ha avuto il 96% delle aziende, un’alta resilienza la dichiara il 29%. La domanda “mi attaccheranno?” è statisticamente risolta. Ne restano aperte altre due: te ne accorgerai e quanto ti costerà.

Cosa farne — 6 cose che derivano direttamente dai dati

Non ti lascio con i soli grafici. Ogni punto qui sotto deriva direttamente dai numeri di cui sopra — niente filosofia:

1. Fai l’inventario di ciò che “sporge” verso internet. La mediana del tempo fino allo sfruttamento di massa dei dispositivi perimetrali è di 0 giorni, e quasi metà degli zero-day del 2025 puntava all’hardware enterprise — VPN e firewall. Se non hai una lista aggiornata dei tuoi sistemi visibili da internet, l’attaccante la farà al posto tuo (in un quarto d’ora, come ricorderai).
2. Patcha in base al rischio, non al numero. 48.000 CVE all’anno contro 245 nuove voci nella lista di quelle realmente sfruttate (KEV). Le critiche ed esposte a internet — entro 24–72 ore; il resto gestiscilo come processo. La mediana di 43 giorni per patchare una falla attivamente attaccata, oggi, è andarsele a cercare.
3. Abbi un piano per quando la patch non c’è. Se il time-to-exploit medio è negativo, una parte degli attacchi per definizione arriverà prima della patch. Riduci l’esposizione dei servizi, segmenta la rete, prepara gli interruttori d’emergenza (“cosa possiamo staccare in un’ora senza ammazzare il business?”).
4. Investi nel rilevamento, non solo nei muri. Il breakout time è di 29 minuti, e il passaggio di un accesso tra criminali può richiedere 22 secondi. Un monitoraggio (SOC interno, servizio MDR — qualunque cosa si adatti alla scala dell’azienda) che guardi davvero gli alert di notte e nel weekend ha smesso di essere un lusso da multinazionale.
5. Procedure a prova di deepfake. Se il 60% delle persone abbocca al phishing dell’AI e il “CEO in video” può essere generato — nessuna singola persona dovrebbe poter eseguire un bonifico fuori dall’ordinario né cambiare il conto di un fornitore. Richiamata a un numero conosciuto, seconda firma, limiti. Noioso? È proprio il noioso a salvare i milioni.
6. Fatti testare, prima che lo faccia qualcun altro. Microsoft e Google patchano un migliaio di falle all’anno perché qualcuno le cerca attivamente. Alla tua scala, questo ruolo lo svolge esattamente il penetration test (un attacco controllato ai tuoi sistemi, dopo il quale ricevi la lista delle falle e dei modi per chiuderle) oppure un programma di bug bounty. Se vuoi sapere quanto costa alla tua scala — calcolalo in 2 minuti con il mio calcolatore di preventivo, e se preferisci parlarne: fatti sentire.

FAQ

Quante vulnerabilità (CVE) sono state scoperte nel 2025?

48.449 nuove CVE (cvedetails.com, secondo il database NVD; altri conteggi indicano 48.200–49.900). Nel 2026 il contatore ha superato l’intero anno precedente già il 19 agosto (53.803). Previsione FIRST per tutto il 2026: circa 66.000.

Cos’è il time-to-exploit e a quanto ammonta?

È il tempo medio dalla divulgazione pubblica di una vulnerabilità al suo primo utilizzo in un attacco. Secondo le ricerche di Google Mandiant è sceso da 63 giorni (2018–2019) a circa meno 7 giorni nel 2025 — in media gli attacchi iniziano prima della pubblicazione della patch, perché cresce la quota di zero-day.

Quanto in fretta i criminali sfruttano le vulnerabilità appena divulgate?

Le scansioni di internet iniziano entro ca. 15 minuti dall’annuncio di una CVE (Unit 42), il ~29% delle vulnerabilità con sfruttamento confermato è stato attaccato il giorno della pubblicazione o prima (VulnCheck, 2025), e per i dispositivi perimetrali la mediana del tempo fino allo sfruttamento di massa è di 0 giorni (Verizon DBIR).

Gli attacchi tramite falle nel software crescono davvero?

Sì, più in fretta di tutti gli altri vettori: nel Verizon DBIR la quota dello sfruttamento di vulnerabilità è passata dal 14% al 31% delle violazioni in due anni (vettore n. 1 per la prima volta nella storia del report), e per IBM X-Force è già il 40% degli incidenti (+44% a/a). Il phishing intanto non sparisce (16% nel DBIR, 22% per Unit 42) — cambia forma verso vishing e ClickFix, quindi entrambi i fronti vanno presi sul serio.

Il codice scritto dall’AI è sicuro?

Non di default. Veracode: il 45% dei task di programmazione svolti da modelli AI si conclude con codice vulnerabile. Apiiro: i team con l’AI scrivono 3–4× più codice, ma generano ~10× più problemi di sicurezza.

Perché nel 2026 si patchano numeri record di vulnerabilità?

Perché alla caccia ai bug è stata messa l’AI. Mozilla ha corretto nelle release di aprile 423 bug (tipicamente 20–30 al mese), di cui 271 trovati con l’aiuto di Claude; Chrome ha patchato 1.072 bug in due release; Oracle ha rilasciato quasi 1.450 patch in un solo trimestre. Secondo Epoch AI, il numero di CVE gravi dalle 21 maggiori organizzazioni ha raggiunto a luglio 2026 ca. 2.500 — circa 5× il record precedente all’era degli agenti AI.

Quanti attacchi a settimana respinge un’azienda in Polonia?

In media 1.854 attacchi a settimana per organizzazione (Check Point, agosto 2026, +15% a/a). CERT Polska ha registrato nel 2025 260.783 incidenti — oltre 700 al giorno.

In sintesi

Tutti questi numeri raccontano una sola storia: la corsa che un tempo misuravamo in settimane oggi la misuriamo in minuti — e in certi punti il tempo è diventato negativo. Le vulnerabilità crescono al ritmo più alto della storia, l’exploit precede la patch, l’AI ha abbassato il costo dell’attacco quasi a zero, e intanto il 96% delle aziende polacche ha già un incidente alle spalle. La buona notizia è paradossale: se realmente attaccata è solo una frazione delle vulnerabilità, allora non vince chi ha il budget più grosso, ma chi conosce il proprio terreno, patcha in base al rischio e vede l’intruso in minuti, non in mesi. Questo si può imparare — ed è da qui che comincia ogni buon piano di sicurezza. ✔️

E se vuoi verificare come appare la tua azienda dalla prospettiva di un attaccante — sai dove trovarmi.

Fonti dei dati usati in questo post

• cvedetails.com — statistiche CVE per anno (dati al 19.08.2026); Jerry Gamblin — “CVE Data Review” (jerrygamblin.com)
• FIRST — Vulnerability Forecast 2026 (febbraio e giugno 2026)
• Google Mandiant — “Time-to-Exploit Trends” (2024) e “M-Trends 2026”
• Google Threat Intelligence Group — “2025 Zero-Days in Review” (marzo 2026)
• VulnCheck — “State of Exploitation” (gennaio e luglio 2026)
• Verizon — Data Breach Investigations Report 2024–2026
• IBM — X-Force Threat Intelligence Index 2025 e 2026; Sophos — Active Adversary Report 2025 e 2026; Palo Alto Unit 42 — Global Incident Response Report 2025 e 2026
• Coalition — Cyber Threat Index 2025; ENISA — Threat Landscape 2025; Red Canary — Threat Detection Report 2026
• Cloudflare — Application Security Report 2024
• CrowdStrike — Global Threat Report 2026
• Cyentia Institute & FIRST — “A Visual Exploration of Exploitation in the Wild” (2024)
• Zero Day Initiative / Tenable — riepiloghi dei Patch Tuesday 2024–2026; Apple — security releases (iOS 26.6.1, 08.2026)
• Mozilla Hacks — “Behind the scenes: hardening Firefox” (05.2026); Google Security Blog — “Stronger with every update” (07.2026)
• Epoch AI — “Disclosed CVEs: July Reached 5× the Pre-Mythos Record” (07.2026)
• Oracle — Critical Patch Update July 2026; The Register — “Linux kernel team publishes 432 CVEs in two days” (07.2026)
• Zero Day Clock (zerodayclock.com) — aggregatore di dati sull’exploitation (CISA KEV + VulnCheck)
• Veracode — GenAI Code Security Report 2025; Apiiro — analisi del codice generato con AI (2025)
• Check Point Research — report 2025–2026; KnowBe4 — Phishing Threat Trends 2026
• Anthropic — report di threat intelligence (agosto e novembre 2025); ESET — PromptLock (2025)
• Entrust Identity Fraud Report 2025; Searchlight Cyber — ransomware 2025
• CERT Polska — rapporto annuale 2025 e riepilogo mensile di luglio 2026; KPMG — Barometr cyberbezpieczeństwa 2026; Xopero — “Cyberbezpieczeństwo — Trendy 2026”; WEF — Global Cybersecurity Outlook 2026