Redazione RHC : 22 Agosto 2025 20:24
Con il numero di vulnerabilità a cui sono sottoposte le aziende in tutto il mondo, i ricercatori del Rochester Institute of Technology, dell’Università delle Hawaii e di Leidos hanno condotto il più grande studio comparativo ad oggi dei quattro sistemi di punteggio delle vulnerabilità più diffusi: CVSS, EPSS, SSVC ed Exploitability Index.
Gli autori hanno analizzato 600 vulnerabilità reali provenienti dalle versioni Patch Tuesday di Microsoft per scoprire quanto questi sistemi siano coerenti tra loro, quanto bene gestiscano le attività di definizione delle priorità e con quale accuratezza prevedano il rischio di sfruttamento.
I risultati sono stati allarmanti: tutti e quattro i sistemi mostrano nette differenze nelle valutazioni delle stesse CVE. È stata riscontrata una correlazione estremamente bassa tra loro: in alcuni casi, la percezione della gravità della minaccia dipende radicalmente dall’approccio utilizzato. Ciò porta a una situazione paradossale: la stessa vulnerabilità può essere inclusa nella lista di priorità di un sistema e ignorata da un altro.
 Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Gli autori sottolineano che, in pratica, questo porta al caos nel processo decisionale. I sistemi spesso raggruppano centinaia di CVE nelle stesse “classi principali”, senza fornire una vera e propria gradazione. Ad esempio, secondo CVSS ed Exploitability Index, più della metà delle vulnerabilità rientra nei livelli di priorità più elevati, mentre EPSS seleziona solo quattro CVE, creando il problema opposto: un’eccessiva selettività e il rischio di trascurare casi pericolosi.
Il documento presta particolare attenzione all’efficacia dell’EPSS come strumento per la previsione di attacchi futuri. Nonostante l’obiettivo dichiarato di prevedere la probabilità di exploit entro 30 giorni, meno del 20% delle vulnerabilità CVE sfruttabili note presentava punteggi EPSS elevati prima di essere aggiunte al catalogo KEV. Inoltre, il 22% delle vulnerabilità non aveva alcun punteggio nel sistema fino alla conferma degli attacchi. Ciò compromette seriamente la sua affidabilità come strumento preventivo.
SSVC, a sua volta, offre una categorizzazione qualitativa delle azioni (ad esempio, “monitorare”, “agire”), ma anche qui sono state riscontrate delle difficoltà: la decisione dipende dal parametro poco comparabile “impatto sulla missione e sul benessere”, il che rende difficili i confronti tra organizzazioni.
È stato inoltre verificato se le tipologie di vulnerabilità (secondo il CWE) influenzino le discrepanze tra le valutazioni. È emerso che non esiste una connessione sistematica: anche all’interno di un CWE si riscontrano forti discrepanze, il che indica l’autonomia della logica di ciascun sistema e l’assenza di un approccio universale.
Lo studio dimostra che l’utilizzo di uno qualsiasi di questi sistemi senza un adattamento contestuale e adeguato alle esigenze di una specifica organizzazione può portare a false priorità. Gli autori raccomandano di non fare affidamento su un unico sistema come fonte universale di verità, ma di utilizzare una combinazione di metriche, integrate con dati e policy interne. È particolarmente importante distinguere tra i concetti di gravità e probabilità di sfruttamento: si tratta di assi diversi che richiedono strumenti di valutazione diversi.
Il lavoro evidenzia la necessità di ripensare l’intero sistema di valutazione delle vulnerabilità. Le organizzazioni moderne non necessitano di un solo indicatore numerico, ma di strumenti trasparenti, interpretabili e adattabili al contesto, che tengano conto delle reali condizioni operative, della criticità delle risorse e della logica aziendale. Solo così è possibile costruire un processo di gestione delle vulnerabilità efficace e affidabile.
RedazioneIl 21 ottobre 2025, un gruppo internazionale di ricercatori provenienti da 29 istituzioni di prestigio – tra cui Stanford University, MIT e Università della California, Berkeley – ha completato u...
Nella giornata di oggi, migliaia di utenti Fastweb in tutta Italia hanno segnalato problemi di connessione alla rete fissa, con interruzioni improvvise del servizio Internet e difficoltà a navigare o...
Mattinata difficile per i clienti Fastweb: dalle 9:30 circa, il numero di segnalazioni di malfunzionamento è schizzato alle stelle. Secondo i dati di Downdetector, le interruzioni hanno superato le 3...
Dopo il successo dello scorso anno, Scientifica lancia la nuova edizione di GlitchZone, la competition dedicata alle start-up che sviluppano soluzioni innovative per la cybersecurity. L’iniziativa �...
Il ricercatore di sicurezza Alessandro Sgreccia, membro del team HackerHood di Red Hot Cyber, ha segnalato a Zyxel due nuove vulnerabilità che interessano diversi dispositivi della famiglia ZLD (ATP ...
