Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 22 Agosto 2025 20:24
Con il numero di vulnerabilità a cui sono sottoposte le aziende in tutto il mondo, i ricercatori del Rochester Institute of Technology, dell’Università delle Hawaii e di Leidos hanno condotto il più grande studio comparativo ad oggi dei quattro sistemi di punteggio delle vulnerabilità più diffusi: CVSS, EPSS, SSVC ed Exploitability Index.
Gli autori hanno analizzato 600 vulnerabilità reali provenienti dalle versioni Patch Tuesday di Microsoft per scoprire quanto questi sistemi siano coerenti tra loro, quanto bene gestiscano le attività di definizione delle priorità e con quale accuratezza prevedano il rischio di sfruttamento.
I risultati sono stati allarmanti: tutti e quattro i sistemi mostrano nette differenze nelle valutazioni delle stesse CVE. È stata riscontrata una correlazione estremamente bassa tra loro: in alcuni casi, la percezione della gravità della minaccia dipende radicalmente dall’approccio utilizzato. Ciò porta a una situazione paradossale: la stessa vulnerabilità può essere inclusa nella lista di priorità di un sistema e ignorata da un altro.
 CALL FOR SPONSOR - Sponsorizza la Graphic Novel Betti-RHC Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Conosci il nostro corso sul cybersecurity awareness a fumetti? Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Gli autori sottolineano che, in pratica, questo porta al caos nel processo decisionale. I sistemi spesso raggruppano centinaia di CVE nelle stesse “classi principali”, senza fornire una vera e propria gradazione. Ad esempio, secondo CVSS ed Exploitability Index, più della metà delle vulnerabilità rientra nei livelli di priorità più elevati, mentre EPSS seleziona solo quattro CVE, creando il problema opposto: un’eccessiva selettività e il rischio di trascurare casi pericolosi.
Il documento presta particolare attenzione all’efficacia dell’EPSS come strumento per la previsione di attacchi futuri. Nonostante l’obiettivo dichiarato di prevedere la probabilità di exploit entro 30 giorni, meno del 20% delle vulnerabilità CVE sfruttabili note presentava punteggi EPSS elevati prima di essere aggiunte al catalogo KEV. Inoltre, il 22% delle vulnerabilità non aveva alcun punteggio nel sistema fino alla conferma degli attacchi. Ciò compromette seriamente la sua affidabilità come strumento preventivo.
SSVC, a sua volta, offre una categorizzazione qualitativa delle azioni (ad esempio, “monitorare”, “agire”), ma anche qui sono state riscontrate delle difficoltà: la decisione dipende dal parametro poco comparabile “impatto sulla missione e sul benessere”, il che rende difficili i confronti tra organizzazioni.
È stato inoltre verificato se le tipologie di vulnerabilità (secondo il CWE) influenzino le discrepanze tra le valutazioni. È emerso che non esiste una connessione sistematica: anche all’interno di un CWE si riscontrano forti discrepanze, il che indica l’autonomia della logica di ciascun sistema e l’assenza di un approccio universale.
Lo studio dimostra che l’utilizzo di uno qualsiasi di questi sistemi senza un adattamento contestuale e adeguato alle esigenze di una specifica organizzazione può portare a false priorità. Gli autori raccomandano di non fare affidamento su un unico sistema come fonte universale di verità, ma di utilizzare una combinazione di metriche, integrate con dati e policy interne. È particolarmente importante distinguere tra i concetti di gravità e probabilità di sfruttamento: si tratta di assi diversi che richiedono strumenti di valutazione diversi.
Il lavoro evidenzia la necessità di ripensare l’intero sistema di valutazione delle vulnerabilità. Le organizzazioni moderne non necessitano di un solo indicatore numerico, ma di strumenti trasparenti, interpretabili e adattabili al contesto, che tengano conto delle reali condizioni operative, della criticità delle risorse e della logica aziendale. Solo così è possibile costruire un processo di gestione delle vulnerabilità efficace e affidabile.
RedazioneCloudflare ha registrato un’interruzione significativa nella mattina del 5 dicembre 2025, quando alle 08:47 UTC una parte della propria infrastruttura ha iniziato a generare errori interni. L’inci...
Una campagna sempre più aggressiva, che punta direttamente alle infrastrutture di accesso remoto, ha spinto gli autori delle minacce a tentare di sfruttare attivamente le vulnerabilità dei portali V...
Dietro molte delle applicazioni e servizi digitali che diamo per scontati ogni giorno si cela un gigante silenzioso: FreeBSD. Conosciuto soprattutto dagli addetti ai lavori, questo sistema operativo U...
Molto spesso parliamo su questo sito del fatto che la finestra tra la pubblicazione di un exploit e l’avvio di attacchi attivi si sta riducendo drasticamente. Per questo motivo diventa sempre più f...
Dal 1° luglio, Cloudflare ha bloccato 416 miliardi di richieste da parte di bot di intelligenza artificiale che tentavano di estrarre contenuti dai siti web dei suoi clienti. Secondo Matthew Prince, ...
