CVSS misura la gravità, ma non il rischio reale. Scopri come usare EPSS e il catalogo CISA KEV per prioritizzare le vulnerabilità che contano davvero.
Nel 2025 il database CVE ha superato quota 48.000 nuove vulnerabilità pubblicate in un solo anno. Per un team di sicurezza informatica, questo numero non rappresenta un elenco di lavori da fare: rappresenta un problema di selezione. Nessuna organizzazione ha le risorse per correggere tutto e non tutte le vulnerabilità meritano la stessa urgenza. Eppure, per anni, lo strumento usato per stabilire le priorità è stato quasi sempre lo stesso: il punteggio CVSS. Un numero da 0 a 10 che misura quanto grave potrebbe essere una vulnerabilità, non quanto probabile sia che venga sfruttata.
Il risultato è quello che i team di sicurezza conoscono bene: code di patch interminabili dominate da vulnerabilità “critiche” che non vengono mai usate dagli attaccanti. CVE con punteggi più bassi, invece, finiscono in fondo alla lista e vengono sfruttate attivamente. Ecco perché sono nati altri strumenti e cataloghi per tenere traccia non solo delle vulnerabilità, ma soprattutto della possibilità di un loro effettivo sfruttamento.
Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.
Il limite del CVSS
Il Common Vulnerability Scoring System (CVSS) è uno standard sviluppato da FIRST per assegnare un punteggio di gravità alle vulnerabilità software su una scala da 0 a 10. Il punteggio viene calcolato sulla base di caratteristiche tecniche della vulnerabilità: vettore di attacco, complessità, privilegi richiesti, impatto sulla riservatezza, integrità e disponibilità del sistema. È uno strumento utile per capire quanto danno potrebbe causare una vulnerabilità se sfruttata, ma non dice nulla su quanto sia probabile che lo venga davvero.
Questo è il suo limite fondamentale e per capirlo a fondo, portiamo un esempio. CVE-2024-0646 è una vulnerabilità del kernel Linux con CVSS 7.0 (Alto), che richiede accesso locale e condizioni molto specifiche per essere sfruttata. Il suo punteggio EPSS, che misura la probabilità di sfruttamento nei successivi 30 giorni, si attesta allo 0,04%. Al contrario, CVE-2024-4577, una vulnerabilità critica in PHP, mostrava un EPSS del 94% già prima che NVD pubblicasse la sua analisi completa e il CVSS definitivo.
Il problema finisce per amplificarsi a causa della crescita esponenziale del numero di CVE pubblicate ogni anno. Nel 2025 sono state registrate oltre 48.185 vulnerabilità, un record assoluto secondo il Rapporto CLUSIT 2026, con un punteggio medio CVSS di 6,60. Con queste proporzioni, il basarsi solo ed esclusivamente sulla gravità teorica porta inevitabilmente ad affogare in un backlog che nessun team riesce a smaltire.
Cos’è EPSS e come funziona
L’Exploit Prediction Scoring System (EPSS) è un modello open source sviluppato da FIRST che stima la probabilità che una vulnerabilità venga sfruttata in the wild nei successivi 30 giorni. Il modello restituisce due valori: uno score tra 0 e 1, che rappresenta la probabilità diretta di sfruttamento, e un percentile che indica come quella vulnerabilità si posiziona rispetto a tutte le altre CVE note. Un percentile di 0,98 significa che quella vulnerabilità ha una probabilità di sfruttamento maggiore del 98% di tutte le altre.
Il modello di machine learning su cui si basa EPSS analizza un ampio set di fonti: il database NVD, il catalogo CISA KEV, Exploit-DB e dati di telemetria su attività di sfruttamento osservate in the wild. Aggiornato quotidianamente, è in grado di segnalare un aumento del rischio anche prima che una vulnerabilità venga formalmente classificata come critica nei database ufficiali, come dimostra il caso di CVE-2024-4577. Il 17 marzo 2025 è stato rilasciato EPSS v4, con miglioramenti legati all’accuratezza predittiva del modello rispetto alle versioni precedenti.
C’è da sottolineare che EPSS non sostituisce il CVSS, bensì lo integra. Un punteggio CVSS alto con EPSS basso segnala una vulnerabilità grave ma poco appetibile per gli attaccanti. Un CVSS medio con EPSS alto segnala una vulnerabilità già nel mirino. La combinazione dei due valori permette di costruire una prioritizzazione molto più aderente al rischio reale. Secondo le analisi di FIRST, un team che adotta EPSS riesce a coprire una quota più alta di vulnerabilità effettivamente sfruttate, lavorando su una frazione molto più piccola del totale disponibile.
Il catalogo CISA KEV
Il Known Exploited Vulnerabilities Catalog è una lista curata dalla CISA (Cybersecurity and Infrastructure Security Agency) statunitense che raccoglie le vulnerabilità per cui esiste conferma di sfruttamento attivo in attacchi reali. A differenza di CVSS ed EPSS, il dato KEV è binario: una vulnerabilità è nel catalogo, oppure non lo è.
Il catalogo è nato con la Binding Operational Directive 22-01, che obbliga le agenzie federali civili statunitensi a correggere le vulnerabilità KEV entro scadenze precise stabilite dalla CISA. Sebbene l’obbligo si applichi solo al perimetro federale americano, la CISA raccomanda esplicitamente a tutte le organizzazioni di usare il catalogo come riferimento prioritario per la gestione delle vulnerabilità. Nel 2025 sono state identificate 884 KEV e i dati di VulnCheck mostrano che il 28,96% di esse mostrava già sfruttamento attivo nel giorno stesso della disclosure pubblica. Le vulnerabilità presenti nel catalogo KEV vengono rimediate 3,5 volte più velocemente rispetto a quelle non incluse, a conferma dell’efficacia del catalogo come acceleratore delle decisioni di patching.
Il KEV copre circa lo 0,5% del totale delle CVE note, il che lo rende una lista molto selettiva. Proprio per questo è un punto di partenza ideale: non elimina la necessità di gestire le altre vulnerabilità, ma identifica con certezza quelle che non ammettono dilazioni. Consultarlo è gratuito e l’aggiornamento è continuo, con nuove voci aggiunte ogni settimana.
Come usarli insieme
La combinazione di CVSS, EPSS e CISA KEV permette di costruire un modello di prioritizzazione che riflette il rischio reale invece di quello teorico. Il punto di partenza è sempre il catalogo KEV: qualsiasi vulnerabilità presente in questa lista va trattata come priorità assoluta, indipendentemente dal punteggio CVSS. Se è già sfruttata in attacchi reali, non c’è motivo di aspettare.
Il secondo livello di filtro è EPSS. Per le vulnerabilità non ancora nel catalogo KEV, un punteggio EPSS superiore a 0,10 (10%) indica un rischio di sfruttamento elevato rispetto alla media e deve tradursi in azione a breve termine. Il CVSS entra come terza variabile per valutare l’impatto potenziale. Una vulnerabilità con EPSS alto e CVSS alto su un sistema esposto a internet è il caso che richiede intervento immediato. Una vulnerabilità con EPSS alto ma CVSS basso su un sistema interno e non raggiungibile dall’esterno può essere gestita con tempi più distesi.
Il risultato pratico è una riduzione drastica del backlog. Secondo FIRST, adottando EPSS come filtro primario un team di sicurezza può concentrarsi su una percentuale molto più piccola delle vulnerabilità totali, coprendo comunque la grande maggioranza di quelle che verranno effettivamente sfruttate.
CVSS, EPSS e KEV descrivono una vulnerabilità in astratto, senza sapere nulla della vostra rete. La stessa falla può risultare inattaccabile dietro una segmentazione ben fatta oppure aprire la strada al dominio intero in una configurazione permissiva. Il nostro Penetration Test verifica sul campo quali vulnerabilità sono davvero sfruttabili nel vostro ambiente e fino a dove portano un attaccante: la prova che sposta una voce dalla lista delle ipotesi a quella delle priorità.
In conclusione
Pur rimanendo uno strumento utile, il CVSS non è progettato per rispondere alla domanda che conta davvero: questa vulnerabilità verrà sfruttata contro di me? EPSS e il catalogo CISA KEV rispondono a questa domanda con strumenti diversi e complementari: uno predice, l’altro conferma. Usarli insieme è una pratica necessaria per chiunque gestisca infrastrutture con risorse limitate e un flusso continuo di nuove vulnerabilità da valutare. Affidarsi solo al CVSS nel 2026 significa scegliere cosa correggere in base a quanto potrebbe fare male qualcosa che probabilmente non accadrà.
Prioritizzare significa accettare che qualcosa resti aperto per settimane, in attesa del suo turno oppure di una patch che il fornitore non ha ancora rilasciato. In quella finestra buona parte delle vulnerabilità sfruttate attivamente ha bisogno di un gesto umano per attivarsi, dal documento aperto per abitudine al link seguito senza guardare il mittente. La nostra Academy forma i vostri dipendenti a riconoscere i messaggi che innescano questi exploit, abbassando la probabilità che una falla ancora in coda venga davvero raggiunta.
- Autore articolo
- Gli ultimi articoli
Classe 1993, ingegnere gestionale e Adobe Certified Professional in Graphic Design & Visual Design. Ho mosso i primi passi nel campo informatico grazie alla passione per i videogiochi, che mi ha portato ad approfondire i motori grafici e la progettazione visiva. Scrivo da quando ero bambino e, con il tempo, la scrittura è diventata parte integrante del mio lavoro nel mondo della comunicazione e della sicurezza informatica.