Moody’s: 87 giorni per correggere le vulnerabilità sfruttate

L’agenzia di rating Moody’s ha pubblicato il 19 ottobre un rapporto sul rischio cyber delle organizzazioni che valuta: il tempo mediano per correggere una vulnerabilità nota e già sfruttata dagli attaccanti è di 87 giorni. Metà di queste falle, quindi, è ancora aperta tre mesi dopo la pubblicazione. Negli stessi giorni Rapid7, nel suo rapporto trimestrale sulle minacce, ha misurato che le vulnerabilità gravi scelte dagli attaccanti vengono sfruttate in media entro tre giorni. Il divario tra questi due numeri è il punto da cui partire per rivedere il processo di patching.

Cosa dice il rapporto di Moody’s

Secondo Infosecurity Magazine, il rapporto usa dati di Bitsight Technologies di febbraio 2026, relativi alle vulnerabilità rese pubbliche nei due anni precedenti. I numeri principali:

• 87 giorni di tempo mediano di correzione per le vulnerabilità note e sfruttate;
• 107 giorni per le vulnerabilità senza prove di sfruttamento: quando la falla non risulta usata negli attacchi, il ritardo è ancora maggiore;
• secondo LeMagIT, l’analisi riguarda circa 9.500 emittenti valutati da Moody’s, e il 60% aveva sulla propria rete almeno una vulnerabilità nota e sfruttata non corretta (dato riportato solo da LeMagIT).

Moody’s stessa avverte che, dopo febbraio, i progressi delle capacità offensive dell’intelligenza artificiale potrebbero aver ridotto ancora il tempo necessario per sfruttare una falla, e che anche i tempi di correzione potrebbero essere cambiati.

Il rapporto collega la questione al rischio di credito. Secondo Moody’s le organizzazioni con pratiche di patching deboli sono le più esposte, soprattutto se hanno reti digitali estese e quindi una superficie d’attacco più ampia. Le aziende piccole e medie, aggiungono gli analisti, potrebbero diventare bersagli economicamente più convenienti man mano che l’IA abbassa costi e fatica degli attacchi. LeMagIT riassume la conseguenza: una postura di sicurezza debole rischia di far salire il costo del capitale.

Il volume da gestire, intanto, cresce: Moody’s ricorda che Microsoft ha battuto i propri record per numero di aggiornamenti di sicurezza in tre Patch Tuesday consecutivi.

L’intelligenza artificiale e la finestra di sfruttamento

Secondo il rapporto, ripreso da Infosecurity Magazine, gli agenti di IA sono già in grado di sfruttare vulnerabilità e compromettere sistemi nel giro di giorni. Il documento cita casi di mancato contenimento durante i test degli sviluppatori di OpenAI e Anthropic; per OpenAI si trattava di una valutazione interna, non di un attacco. Moody’s precisa che finora nessuna campagna di attaccanti di portata paragonabile è stata documentata pubblicamente, ma ritiene temporanei gli ostacoli attuali: costi di calcolo e accesso limitato ai modelli più avanzati. Il rapporto riporta anche la stima dell’AI Security Institute britannico: il divario di capacità cyber tra modelli a pesi aperti e modelli di frontiera è sceso a 4–7 mesi, dai 6–10 della stima precedente.

I dati di Rapid7: la finestra si misura in giorni

CSO Online riporta i dati del Quarterly Threat Landscape di Rapid7 sul terzo trimestre 2026. Non riguardano il rapporto di Moody’s, ma aiutano a leggerlo:

• 43 vulnerabilità sfruttate per la prima volta nel trimestre, il 19% in più rispetto a un anno prima;
• le nuove CVE di gravità alta (punteggio da 7 a 10) sono aumentate del 133% e i proof of concept pubblici di circa l’86%: le falle sfruttabili crescono molto più in fretta di quelle che gli attaccanti scelgono davvero;
• le vulnerabilità gravi scelte dagli attaccanti sono state sfruttate in media entro tre giorni, e il 71% dello sfruttamento osservato è arrivato entro una settimana;
• quasi l’80% di quanto sfruttato era raggiungibile da remoto, senza autenticazione e senza interazione dell’utente: è il terreno della tecnica MITRE ATT&CK T1190 (Exploit Public-Facing Application);
• nei forum underground la maggior parte dei messaggi riguardava CVE già presenti negli avvisi dei produttori o nel catalogo KEV della CISA a pochi giorni dalla pubblicazione: un riconfezionamento commerciale di falle note, più che un mercato di nuovi zero-day.

Secondo Rapid7, l’IA aveva un ruolo operativo solo nell’8% circa degli attacchi osservati, nella parte tattica (scelta della tecnica successiva, selezione dei bersagli), mentre la decisione su chi colpire restava umana.

Messi insieme, i dati dicono che per una falla sfruttata su due la correzione arriva dopo quasi tre mesi, mentre chi attacca può essere pronto in pochi giorni.

Cosa significa per le aziende europee e italiane

Per i soggetti che rientrano nella NIS2 (in Italia il d.lgs. 138/2024), la gestione delle vulnerabilità è una delle misure di sicurezza richieste: mesi di attesa per correggere falle già sfruttate sono difficili da giustificare. Il collegamento proposto da Moody’s con il merito di credito aggiunge un argomento economico nel confronto con la direzione. Secondo Chris Cochran (SANS Institute), citato da LeMagIT, al consiglio di amministrazione servono pochi indicatori: superficie esposta sfruttabile, latenza delle patch, accessi privilegiati e tempo di ripristino verificato.

Cosa fare subito

• Partire dal profilo che gli attaccanti preferiscono: elencare i sistemi esposti su Internet e raggiungibili senza autenticazione, e decidere per ciascuno quanti giorni di esposizione sono accettabili (la raccomandazione riportata da CSO Online).
• Dare priorità alle vulnerabilità del catalogo KEV della CISA e a quelle con exploit pubblico, con tempi di correzione in giorni per gli asset pubblici e non in cicli mensili. Rich Mogull (Cloud Security Alliance), citato da LeMagIT, parla di «VulnOps»: la gestione delle vulnerabilità come processo continuo, sul modello DevOps.
• Misurare il proprio tempo di correzione delle vulnerabilità sfruttate e confrontarlo con gli 87 giorni del rapporto.
• Contenere quello che non si può correggere: per i sistemi legacy, segmentazione, restrizione degli accessi, controlli compensativi e ripristino testato.
• Ridurre la superficie: chiudere le esposizioni inutili e limitare i privilegi.
• Esercitarsi su più incidenti contemporanei, con esercizi di red team e tabletop, come suggerisce Rob Lee (SANS).

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto, con la loro età, quelle già sfruttate dagli attaccanti in evidenza e l’andamento giorno per giorno: i dati per misurare il proprio tempo di correzione. ARX Expose fa vedere la superficie d’attacco dall’esterno, con le vulnerabilità note sui servizi pubblici, e ARX Scout verifica quali porte e servizi sono davvero esposti.

Ultimo aggiornamento: 22 ottobre 2026