CVSS, EPSS, SSVC ed Exploitability Index: tutti strumenti inutili senza contesto

Redazione RHC : 22 Agosto 2025 20:24

Con il numero di vulnerabilità a cui sono sottoposte le aziende in tutto il mondo, i ricercatori del Rochester Institute of Technology, dell’Università delle Hawaii e di Leidos hanno condotto il più grande studio comparativo ad oggi dei quattro sistemi di punteggio delle vulnerabilità più diffusi: CVSS, EPSS, SSVC ed Exploitability Index.

Gli autori hanno analizzato 600 vulnerabilità reali provenienti dalle versioni Patch Tuesday di Microsoft per scoprire quanto questi sistemi siano coerenti tra loro, quanto bene gestiscano le attività di definizione delle priorità e con quale accuratezza prevedano il rischio di sfruttamento.

I risultati sono stati allarmanti: tutti e quattro i sistemi mostrano nette differenze nelle valutazioni delle stesse CVE. È stata riscontrata una correlazione estremamente bassa tra loro: in alcuni casi, la percezione della gravità della minaccia dipende radicalmente dall’approccio utilizzato. Ciò porta a una situazione paradossale: la stessa vulnerabilità può essere inclusa nella lista di priorità di un sistema e ignorata da un altro.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Gli autori sottolineano che, in pratica, questo porta al caos nel processo decisionale. I sistemi spesso raggruppano centinaia di CVE nelle stesse “classi principali”, senza fornire una vera e propria gradazione. Ad esempio, secondo CVSS ed Exploitability Index, più della metà delle vulnerabilità rientra nei livelli di priorità più elevati, mentre EPSS seleziona solo quattro CVE, creando il problema opposto: un’eccessiva selettività e il rischio di trascurare casi pericolosi.

Il documento presta particolare attenzione all’efficacia dell’EPSS come strumento per la previsione di attacchi futuri. Nonostante l’obiettivo dichiarato di prevedere la probabilità di exploit entro 30 giorni, meno del 20% delle vulnerabilità CVE sfruttabili note presentava punteggi EPSS elevati prima di essere aggiunte al catalogo KEV. Inoltre, il 22% delle vulnerabilità non aveva alcun punteggio nel sistema fino alla conferma degli attacchi. Ciò compromette seriamente la sua affidabilità come strumento preventivo.

SSVC, a sua volta, offre una categorizzazione qualitativa delle azioni (ad esempio, “monitorare”, “agire”), ma anche qui sono state riscontrate delle difficoltà: la decisione dipende dal parametro poco comparabile “impatto sulla missione e sul benessere”, il che rende difficili i confronti tra organizzazioni.

È stato inoltre verificato se le tipologie di vulnerabilità (secondo il CWE) influenzino le discrepanze tra le valutazioni. È emerso che non esiste una connessione sistematica: anche all’interno di un CWE si riscontrano forti discrepanze, il che indica l’autonomia della logica di ciascun sistema e l’assenza di un approccio universale.

Lo studio dimostra che l’utilizzo di uno qualsiasi di questi sistemi senza un adattamento contestuale e adeguato alle esigenze di una specifica organizzazione può portare a false priorità. Gli autori raccomandano di non fare affidamento su un unico sistema come fonte universale di verità, ma di utilizzare una combinazione di metriche, integrate con dati e policy interne. È particolarmente importante distinguere tra i concetti di gravità e probabilità di sfruttamento: si tratta di assi diversi che richiedono strumenti di valutazione diversi.

Il lavoro evidenzia la necessità di ripensare l’intero sistema di valutazione delle vulnerabilità. Le organizzazioni moderne non necessitano di un solo indicatore numerico, ma di strumenti trasparenti, interpretabili e adattabili al contesto, che tengano conto delle reali condizioni operative, della criticità delle risorse e della logica aziendale. Solo così è possibile costruire un processo di gestione delle vulnerabilità efficace e affidabile.

Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli