CISA KEV supera 1.739 voci: il fallimento del CVSS come metro unico di priorità

Il catalogo CISA KEV ha superato 1.739 voci l'11 ottobre 2026. Ventotto nuove CVE sono entrate nell'elenco nelle ultime trenta giorni, cinque delle quali collegate al gruppo China-linked Flax Typhoon. Il dato non è un mero allarme quantitativo: inchioda un fallimento strutturale del vulnerability management legacy, quello che ancora scorre gli SLA di patching sulla scala CVSS come se severità teorica e rischio d'impatto fossero la stessa cosa.

Da 1.739 voci emerge un pattern: le flaw decennali tornano overnight

La crescita del catalogo KEV non è lineare. Le 28 aggiunte del mese precedente all'11 ottobre 2026 includono CVE-2015-3306 (ProFTPD, CVSS 10.0) e CVE-2021-3199 (ONLYOFFICE Docs, CVSS 9.8): entrambe erano nel record pubblico da anni con punteggi massimi, entrambe sono diventate emergenze solo quando CISA ha confermato lo sfruttamento attivo. Il punteggio CVSS non è cambiato; è cambiato solo lo status di exploitation.

Secondo la fonte primaria, Flax Typhoon ha sfruttato cinque bug specifici nel batch ottobre 2026, alcuni risalenti al 2015. Il gruppo non ha necessariamente "scoperto" vulnerabilità ignote: ha semplicemente attivato flaw note, con CVSS massimo, rimaste per anni nella zona grigia dei sistemi non aggiornati. La discrepanza tra "pericolosa sulla carta" e "effettivamente sfruttata adesso" è il nucleo del problema.

CVSS misura l'impatto tecnico, non la probabilità di attacco

FIRST.org, ente che gestisce lo standard CVSS, dichiara con chiarezza: "CVSS Base (CVSS-B) scores are designed to measure the severity of a vulnerability and should not be used alone to assess risk". La citazione non è un'opinione marginale: è la definizione stessa del framework. CVSS calcola l'impatto tecnico teorico (confidenzialità, integrità, disponibilità) in uno scenario ipotetico di massima gravità, ignorando l'ambiente operativo, la presenza di mitigazioni compensative, la cronologia di sfruttamento e l'intelligence su attori specifici.

Il risultato è una distorsione sistematica nei team di sicurezza. Una flaw con CVSS 9.8 o 10.0 attiva un ciclo di patching accelerato anche quando nessun exploit è documentato; nel frattempo, bug con CVSS moderato ma sfruttazione confermata restano in coda. Il catalogo KEV esiste proprio per correggere questo scarto, ma è reattivo per definizione: risponde dopo la conferma, non prima.

EPSS tenta la predizione, ma la precisione è bassa

L'Exploit Prediction Scoring System (EPSS), nella versione v4 con modello v2025.03.14, stima la probabilità che una CVE venga sfruttata entro 30 giorni. Il tasso baseline di sfruttamento tra tutte le CVE con punteggio EPSS è del 2-3%. Secondo analisi citata da shattered.io, tuttavia, solo il 19,9% delle CVE entrate in KEV aveva un punteggio EPSS superiore a 0,5 prima della conferma CISA.

Il dato è eloquente: EPSS, pur essendo l'unico framework predittivo del triangolo, non riesce a identificare in anticipo la maggior parte delle vulnerabilità che diventeranno effettivamente emergenze. Il gap tra predizione e realtà lascia finestre di esposizione misurabili in giorni o settimane, sufficienti per attori come Flax Typhoon che monitorano sistematicamente l'intervallo tra pubblicazione CVE e inclusione KEV.

"That gap between 'this looks dangerous on paper' and 'this is actively being exploited right now' is the entire reason security teams argue about CVSS score vs CISA KEV"

Discrepanze nei numeri e limiti del dossier

I conteggi KEV presentano una discrepanza da segnalare: shattered.io riporta 1.739 voci totali nel catalogo al 11 ottobre 2026, mentre Senserva traccia circa 1.350 CVE non-Microsoft attivamente sfruttate nella stessa data, con 41 aggiunte negli ultimi 30 giorni e 244 vendor collegati a campagne ransomware. I due numeri non sono in contraddizione diretta—il totale 1.739 include probabilmente anche voci Microsoft, assenti dal tracker Senserva—ma il dossier non conferma esplicitamente la composizione per vendor del catalogo CISA.

Il calcolo del cosiddetto "5-Day Patch Gap" non è esplicitato nel testo della fonte primaria: non è chiaro se si riferisca a una media, a una mediana o a casi specifici. La metodologia dei "tracker indipendenti" per arrivare a 1.739 voci non è descritta. Non è confermato, inoltre, se l'analisi CrowdStrike sull'EPSS (19,9%) sia aggiornata a ottobre 2026 o riferita a un periodo storico precedente. L'estensione effettiva dello sfruttamento da parte di Flax Typhoon—numero di vittime, geografia, settori colpiti—non è quantificata.

Cosa fare adesso

• Rivedere gli SLA di patching che usano solo soglie CVSS (>7.0, >9.0) come trigger: la fonte documenta che bug con punteggio massimo possono restare inattivi per anni, mentre flaw decennali diventano emergenze overnight.
• Integrare il catalogo KEV nel workflow di prioritizzazione anche prima dell'obbligo formale: BOD 22-01 (ora BOD 26-04) impone scadenze alle agenzie federali civili, ma le organizzazioni private seguono de facto KEV per compliance assicurativa e contratti governativi.
• Trattare EPSS come indicatore complementare, non predittivo autonomo: il 19,9% di precisione pre-KEV significa che oltre l'80% delle future emergenze non verrebbe catturato in anticipo dal solo punteggio EPSS.
• Mappare le CVE con CVSS massimo ma senza sfruttamento confermato: sono candidate prime per la rimozione dalla fast-track, liberando risorse per il monitoraggio reattivo KEV e l'intelligence su attori specifici come Flax Typhoon.

Il triangolo incompleto: nessun framework basta da solo

La lettura che emerge dal dossier è quella di un triangolo di prioritizzazione con tre vertici deboli: CVSS misura male il rischio, KEV arriva tardi, EPSS prevede poco. Nessuno dei tre framework, da solo, guida una strategia ottimale di vulnerability management. I CISO devono costruire sovrapposizioni manuali—tra severità statica, conferma dinamica e intelligence su attori—perché gli strumenti standardizzati non le forniscono automaticamente.

Il caso Flax Typhoon è esemplare non per la sofisticazione tecnica, ma per la pazienza operativa: sfruttare bug con CVSS 10.0 del 2015 significa che il gruppo ha giocato su un campo dove la difesa aveva già perso, semplicemente non accorgendosene. La vera misura del rischio non è il numero nella colonna CVSS. È la permanenza della vulnerabilità nell'inventario non patchato, moltiplicata per la conferma che qualcuno sta finalmente bussando.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://shattered.io/cvss-vs-cisa-kev-vulnerability-prioritization-2026/
• https://referently.com/cve-cvss-and-cisa-kev-explained-how-vulnerabilities-are-scored-and-prioritized/
• https://shattered.io/cisa-kev-citrix-netscaler-cve-2026-8452/
• https://senserva.com/non-microsoft-cve-tracker.html
• https://www.helpnetsecurity.com/2026/08/27/netscaler-adc-gateway-cve-2026-8452/
• https://senserva.com/federal-government-security.html
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-65660