Il tempo zero-day si è compresso a ore: il modello patch-exploit non regge più

Il 15 settembre 2026 la ricercatrice Sila Ozeren Hacioglu di Picus Security ha delineato il quadro operativo di ciò che il settore inizia a chiamare "era post-Mythos". Non si tratta di marketing su un singolo modello AI, ma della constatazione che il presupposto strutturale su cui si regge il security operations — il tempo tra scoperta di una vulnerabilità e il suo sfruttamento — è stato invalidato. Claude Mythos, annunciato da Anthropic nell'aprile 2026, genera exploit funzionanti in minuti, non settimane. Le fasi successive, patch e deploy, restano a velocità umana. Il risultato è un gap che nessun processo di vulnerability management tradizionale riesce più a colmare.

Il crollo del ciclo: quando l'ultimo anello è più lento del primo

Secondo il blog di Cisco Security, "AI discovers the vulnerability and writes the exploit in minutes, not weeks. But the last two stages, patch release and patch deployment, remain human-driven processes operating at human speed". Questa asimmetria ha trasformato un ritardo gestibile in un gap strutturale. La fonte non specifica entità di questo gap in termini assoluti, ma la dinamica è chiara: il primo 50% del ciclo è accelerato oltre la soglia umana, il secondo 50% no.

Il contesto numerico aggravante viene dal FIRST 2026 Vulnerability Forecast: circa 59.000 CVE medie proiettate per il 2026, con intervallo di confidenza al 90% fino a 118.000, contro le 48.185 del 2025 (+21%). NIST ha inoltre annunciato nel 2026 che arricchirà solo le CVE presenti nel catalogo CISA KEV, il software governativo e il critical software sotto l'Executive Order 14028; tutto il resto, nella formulazione della fonte, "va in fondo alla coda". Il dato di crescita delle submission CVE tra 2020 e 2025 è del 263% secondo NIST.

PaperCut: il template del disordine nuovo

Il caso PaperCut, verificato secondo la fonte principale per il periodo 27 agosto–1 settembre 2026, illustra la combinazione letale. Prima advisory urgente senza CVE assegnato, senza exploit pubblico, senza patch disponibile. Prima patch rilasciata e bypassata il giorno stesso. Terza patch effettiva il 1° settembre. Sei giorni di finestra con exploitation attiva documentata.

La ricercatrice di Picus Sila Ozeren Hacioglu ha sintetizzato il rischio in una citazione riportata dalla fonte: "If you wait for a public exploit, the first working one you see may be the one that hits you". Il caso non è attribuito a Mythos specificamente — la fonte lo presenta come esempio di template, non come exploitation AI — ma ne incarna la logica: l'assenza di CVE ed exploit pubblici non equivale più a assenza di minaccia.

"Ten hours before the attacker had a working exploit, your environment already did not have this exposure." — Sila Ozeren Hacioglu, Picus Security

I tre pilastri della risposta chain-centric

Il framework proposto dall'articolo principale si articola in tre capacità integrate su un'unica data fabric. Il primo pilastro è l'exploitability validation senza exploit live: mappare il CVE o la vulnerabilità conosciuta a tecniche MITRE ATT&CK (delivery, execution, privilege escalation, injection, credential access) e simularle contro lo stack difensivo operativo — NGFW, WAF, endpoint, EDR, SIEM. Il secondo è la security control validation per i compensating controls: verificare che i controlli esistenti reggano alle tecniche previste. Il terzo è l'agentic pentesting per conferma ground-truth, applicabile dove è tecnicamente fattibile eseguire exploit reale.

La fonte sottolinea che eseguire queste tre capacità come silos separati su schedule diversi allunga il ciclo da ore a settimane: "Run them as three siloed tools on three schedules and this day takes six weeks, not ten hours". Il flusso descritto è che i finding di una fase alimentino automaticamente la successiva, con l'obiettivo di "rompere la catena" su ogni asset interessato prima che esista un exploit funzionante. La citazione finale della ricercatrice è esplicita: "You have not patched anything. You have broken the chain on every affected asset before a working exploit exists".

Il dossier non verifica indipendentemente che questo framework sia adottato al di fuori dell'ecosistema Picus, né che i tempi dichiarati (scenario delle 08:15-08:45) siano riproducibili in ambienti eterogenei. Le pagine vendor di Picus (Exposure Validation, BAS, agentic pentesting, piattaforma integrata, Validation Summit) sono materiale primario dello stesso vendor che ha commissionato l'articolo su BleepingComputer.

Perché è importante

La fonte principale non documenta misure correttive specifiche al di fuori del framework a tre pilastri. Il brief non specifica se altri vendor adottino terminologia o metodologie analoghe, né quanto diffuso sia in pratica il modello chain-centric. L'affermazione che lo 0,5% delle CVE venga mai patchata proviene da materiale marketing Picus e non ha fonte indipendente verificata nel dossier.

Ciò che il dossier documenta è la compressione temporale come fenomeno convergente: Cisco per la fase discovery-exploit, Picus per il disclosure-to-exploitation, Wiz Research per la logica di risposta ("The basics still stand in its way. None of this is cause for panic. Read it as a clear signal to strengthen the fundamentals you already trust, because the teams that shorten their own response time are the ones this shift rewards").

Il caso Cisco CVE-2026-76461 — CVSS 9.8, exploitation attiva confermata, remediation CISA entro il 17 settembre 2026 — mostra che il rischio non è prospettico. È operativo, misurato in giorni, non in settimane. Il Validation Summit '26 di Picus, programmato per il 14 ottobre 2026 (ET) e il 15 ottobre 2026 (BST) con speaker tra cui Mikko Hyppönen, Volkan Erturk (CTO Picus) e rappresentanti di Chanel, Atlassian, Kraft Heinz, indica dove il vendor posizioni il dibattito: dalla teoria alla metrica operativa di risposta.

Il punto sul metodo: validazione contro esposizione, non contro vulnerabilità

La lettura tecnica che emerge dal dossier è uno spostamento epistemologico nel modo di misurare la sicurezza. Il modello tradizionale chiede: "Ho la patch?". Il modello chain-centric chiede: "La mia esposizione esiste indipendentemente dalla patch?". La differenza non è semantica: la prima domanda ha per risposta un CVE con vendor, advisory, CVSS e timeline di rilascio; la seconda ha per risposta un grafo di tecniche ATT&CK testabili contro controlli live, indipendentemente dalla disponibilità di exploit o fix.

Questo spostamento richiede una data fabric unificata che la fonte descrive ma non dettaglia tecnicamente: integrazione di simulazione, pentesting autonomo e validazione controlli con feedback loop automatico tra i tre livelli. Il dossier non specifica protocolli, formati di scambio dati o architetture di integrazione.

Per i CISO, la conseguenza operativa è la ridefinizione degli SLA di risposta: da "patch entro X giorni dal rilascio" a "validazione della catena di attacco entro Y ore dalla disclosure". La fonte non quantifica Y in modo generalizzato, ma indica un obiettivo di riferimento: le dieci ore dello scenario ottimale descritto. Se questo obiettivo è realistico dipende dalla maturità dell'organizzazione in materia di security control validation e dalla copertura del proprio stack difensivo — entrambi elementi non documentati dal brief.

Il bilancio del brief: cosa resta fuori

Il dossier non specifica la natura dei dati esposti nei casi citati, né fornisce metriche di adozione del framework al di fuori del contesto Picus. Non è chiaro se Claude Mythos sia operativo al di fuori di Project Glasswing con i controlli di accesso ristretti descritti da Wiz. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore del caso PaperCut a framework AI-specifici allo stato attuale. L'attribuzione della compressione temporale esclusivamente a Mythos resta una lettura del vendor; la fonte Cisco la colloca in un quadro più ampio di accelerazione AI senza vincolarla a un singolo modello.

La forza del dossier sta nella convergenza di almeno tre prove indipendenti sulla compressione temporale: Cisco per la meccanica discovery-exploit, Picus per il dato storico disclosure-to-exploitation, Wiz per il contesto delle capacità AI. La debolezza sta nella circolarità del framework proposto: l'analisi, la piattaforma che la implementa e l'evento che la promuovono provengono dalla stessa organizzazione. Per il lettore tecnico, questo non invalida il fenomeno descritto, ma ne limita la generalizzabilità fino a verifica indipendente.

Fonti

• https://www.bleepingcomputer.com/news/security/what-zero-day-response-should-be-in-the-post-mythos-era/
• https://www.helpnetsecurity.com/2026/09/15/cve-2026-76461-cisco-email-gateway-zero-day-exploited/
• https://www.hendryadrian.com/what-zero-day-response-should-be-in-the-post-mythos-era/
• https://www.decryptiondigest.com/blog/zero-day-vulnerability-response-guide
• https://blogs.cisco.com/security/security-in-the-post-mythos-era
• https://www.wiz.io/academy/ai-security/claude-mythos-security
• https://www.picussecurity.com/platform/exposure-validation
• https://www.picussecurity.com/platform/breach-and-attack-simulation
• https://www.picussecurity.com/platform/autonomous-penetration-testing
• https://www.picussecurity.com/autonomous-exposure-validation-platform
• https://www.picussecurity.com/?utm_campaign=52201480-Validation%20Summit%202026&utm_source=bleepingcomputer&utm_medium=inarticle