Rapid7 segnala che il problema non è più solo la quantità di CVE, ma la capacità di capire quali siano davvero raggiungibili. Nel Q2 2026 le disclosure di vulnerabilità high e critical sono raddoppiate anno su anno, mentre le nuove vulnerabilità sfruttate sono rimaste quasi ferme a 40.
L’automazione assistita da AI accelera la scoperta e la pubblicazione delle falle più in fretta di quanto i cicli di patching riescano a smaltirle. Il risultato è un rumore crescente: molte CVE sembrano urgenti sulla carta, ma il progresso degli attaccanti dipende soprattutto da ciò che è esposto, autenticato male o comunque raggiungibile.
Per i team che gestiscono priorità di patch e exposure management, la lettura cambia il criterio di coda: la severità da sola non basta più a descrivere il rischio operativo. Conta di più distinguere ciò che un attaccante può toccare subito da ciò che resta teorico su un pannello di classificazione.