Le conversazioni tra CISO emerse durante Black Hat USA 2026 mettono in primo piano un problema che sta diventando ingestibile per molte organizzazioni: la crescita continua delle CVE, ovvero le vulnerabilità note pubblicate ogni giorno. Il punto non è solo la quantità, ma la velocità con cui nuove esposizioni entrano nei cataloghi pubblici e diventano potenziali vettori di attacco per ambienti enterprise.
In questo scenario la gestione delle vulnerabilità non può più essere vista come una semplice lista di patch da applicare, ma come un processo di prioritizzazione basato sul rischio reale.
Molti responsabili della sicurezza segnalano preoccupazione per la capacità operativa di patchare tutto. Anche con team maturi e strumenti avanzati non è realistico pensare di correggere ogni falla alla stessa velocità con cui viene scoperta. La conseguenza è che il patch management deve concentrarsi su ciò che conta davvero:
- Vulnerabilità esposte su asset critici
- Vulnerabilità con exploit disponibili
- Vulnerabilità raggiungibili dall’esterno
- Vulnerabilità che possono portare a impatti concreti su dati e continuità operativa
Un riferimento importante in questo contesto è il lavoro di tracciamento svolto da database come il NVD del NIST, che raccoglie centinaia di migliaia di vulnerabilità note. Per i team di cybersecurity questo significa avere davanti una superficie di rischio enorme, dove ogni CVE può rappresentare un possibile percorso di intrusione. Per ridurre il rumore servono criteri chiari di triage e validazione, ad esempio:
- Correlare le CVE con l’inventario reale degli asset
- Verificare le configurazioni effettive
- Considerare la presenza di controlli compensativi
Durante le discussioni è stato evidenziato anche il ruolo del penetration testing continuo come risposta pratica alla complessità. Invece di eseguire test sporadici, una strategia continua permette di verificare costantemente quali vulnerabilità sono davvero sfruttabili nel contesto specifico dell’azienda. In questo ambito stanno emergendo piattaforme di penetration testing basate su agentic AI, addestrate su migliaia di casi reali, con l’obiettivo di accelerare la scoperta delle falle e aiutare a decidere cosa correggere prima. L’idea chiave è trasformare la sicurezza da reattiva a proattiva, con evidenze tecniche che guidano le priorità di remediation.