{"id":34037,"date":"2026-07-06T22:20:25","date_gmt":"2026-07-06T20:20:25","guid":{"rendered":"https:\/\/zeroedge.ch\/?p=34037"},"modified":"2026-07-06T22:20:25","modified_gmt":"2026-07-06T20:20:25","slug":"time-to-exploit-negativo-2026","status":"publish","type":"post","link":"https:\/\/zeroedge.ch\/it\/time-to-exploit-negativo-2026\/","title":{"rendered":"Il time-to-exploit è diventato negativo: perché nel 2026 la patch non basta più"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

In media una vulnerabilità software viene sfruttata circa sette giorni prima che esista la patch<\/strong>. Il report M-Trends 2026<\/strong> di Mandiant fissa il time-to-exploit<\/em> medio a −7 giorni<\/strong> — negativo — cioè gli attaccanti armano le falle prima che diventino pubbliche e prima che venga rilasciata una correzione. Nel 2018 quella finestra era di +63 giorni<\/strong>. Ha attraversato lo zero nel 2024. Il patch management, il controllo su cui poggia ancora la maggior parte dei programmi di sicurezza, non regala più il tempo di una volta.<\/p>

Il time-to-exploit è l’intervallo tra quando una vulnerabilità diventa nota e quando viene sfruttata per la prima volta — e nel 2026 questo intervallo si è invertito.<\/em><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n\n\n \n \n
\n

Cosa significa un time-to-exploit “negativo”?<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Significa che la correzione arriva dopo la violazione, non prima. I dati di prima linea di Mandiant mostrano il crollo con chiarezza: 63 giorni di margine nel 2018, quasi zero nel 2024, −7 giorni nel report 2026. Molte delle vulnerabilità usate per l’accesso iniziale sono ormai sfruttate come zero-day<\/strong> — armate prima che esista una patch — e in media la campagna parte una settimana intera prima che il CVE venga pubblicato.<\/p>

La velocità a valle è altrettanto netta: Mandiant ha misurato attaccanti che passano l’accesso iniziale agli operatori ransomware in appena 22 secondi<\/strong>. L’assunto di un tempo — avere giorni per testare e distribuire una correzione — non regge più.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n\n\n \n \n
\n

Perché la finestra di patch si sta chiudendo?<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Perché la scoperta delle vulnerabilità è passata alle macchine. A febbraio 2026 il red team di Anthropic ha riferito che il suo modello Claude ha trovato e validato oltre 500 vulnerabilità ad alta gravità<\/strong> in software open source in produzione. Il modello Mythos Preview è andato oltre, identificando in autonomia migliaia di zero-day in tutti i principali sistemi operativi e browser<\/strong> — e, dato cruciale, finora meno dell’1% è stato corretto<\/strong> dai manutentori.<\/p>

È una capacità a doppio taglio. Il Threat Intelligence Group di Google ha dichiarato di aver probabilmente sventato il tentativo di un gruppo di attaccanti di usare l’AI per un “evento di sfruttamento di massa”.<\/strong> Quando sia gli attaccanti sia i ricercatori trovano falle alla velocità della macchina, il collo di bottiglia non è più trovare<\/em> il bug: è il ciclo umano di triage e patching, che non è accelerato di pari passo.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n\n\n \n \n
\n

Perché conta per la tua azienda<\/h2>\n <\/div>\n \n \n\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Se la tua strategia di sicurezza presume un margine comodo tra divulgazione e sfruttamento, quell’assunto è ora un rischio. Una finestra di −7 giorni significa:<\/p>